CVE-2026-85592

Nome do Software Vulnerável e Versões Afetadas phpMyFAQ versões anteriores a 4.1.8

Description Existe uma falha de bypass de autorização no processo de criação de perguntas. A função isAddingQuestionsAllowed() concede acesso a todos os usuários quando a configuração main.enableAskQuestions está ativa, ignorando a configuração records.allowQuestionsForGuests. Isso permite que usuários não autenticados enviem perguntas através do endpoint de API 'question/create', ignorando as restrições para convidados para injetar spam na fila de moderação do administrador.

Recommendations Atualize para a versão 4.1.8 ou posterior. Como medida de mitigação temporária, desative a configuração main.enableAskQuestions para evitar o envio de perguntas não autorizadas.