CVE-2026-56737

Nome do Software Vulnerável e Versões Afetadas phpMyFAQ versões 3.2.0 a 4.1.5

Description Existe uma falha de bypass de autenticação no fluxo de verificação de autenticação de dois fatores (2FA) pública. Um invasor não autenticado pode assumir o controle de qualquer conta que tenha o 2FA habilitado, incluindo contas de administrador, enviando um user-id numérico e um código TOTP (Senha de Uso Único Baseada em Tempo) de seis dígitos válido ou obtido via força bruta para o endpoint POST /check. O sistema não verifica se o usuário já se autenticou com sucesso através de uma senha, reduzindo efetivamente a segurança de contas com 2FA a um único fator previsível. Isso é agravado pela ausência de um mecanismo de bloqueio para tentativas falhas de TOTP no endpoint afetado.

Recommendations Atualize para a versão 4.1.6 ou posterior.