CVE-2026-124432

Nome do Software Vulnerável e Versões Afetadas phpMyFAQ versões 4.1.9 até 4.1.10 phpMyFAQ versões 4.2.0 até 4.2.0-beta.2

Description Um problema de enumeração de contas existe no endpoint unauthenticated POST '/api/webauthn/prepare-login'. O sistema retorna IDs de credenciais armazenados estáveis para contas registradas com passkeys, enquanto retorna um ID de fallback derivado de md5(time()) para as demais. Como não há limitação de taxa, invasores não autenticados podem comparar IDs allowCredentials de requisições enviadas com mais de um segundo de diferença para identificar contas existentes registradas com passkey e seus respectivos IDs de credenciais.

Recommendations Atualizar phpMyFAQ versões 4.1.9 até 4.1.10 para a versão 4.1.11. Atualizar phpMyFAQ versões 4.2.0 até 4.2.0-beta.2 para a versão 4.2.0-beta.3.