CVE-2026-76208

Nome do Software Vulnerável e Versões Afetadas phpMyFAQ versões 3.1.0 até 4.1.6

Descrição Existe uma falha de bypass de autenticação na função AuthLdap::create(). Quando a autenticação LDAP está habilitada, um bind LDAP bem-sucedido aciona a função User::setStatus('active') incondicionalmente. Esta ação sobrescreve a coluna account status de uma conta local existente, alterando-a de 'blocked' para 'active'. Consequentemente, usuários com contas locais administrativamente bloqueadas podem restaurar o acesso e fazer login via LDAP. Esta transição de estado não é registrada nos logs, impedindo que os administradores detectem a anulação do bloqueio.

Recomendações Atualize o phpMyFAQ para a versão 4.1.7.