CVE-2026-66398
KrytyczneCVSS 9.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
phpMyFAQ przed wersją 4.1.6 zawiera podatność na zdalne wykonanie kodu w API konfiguracji. Uwierzytelniony administrator z uprawnieniami CONFIGURATION_EDIT i ATTACHMENT_ADD może manipulować ustawieniem upgrade.lastDownloadedPackage, aby zapisać dowolny plik PHP i uzyskać wykonanie kodu jako użytkownik serwera WWW.
Ocena ryzyka
Atakujący administrator może przesłać złośliwy plik ZIP jako załącznik, a następnie wykorzystać mechanizm aktualizacji do rozpakowania go w katalogu głównym aplikacji, co umożliwia zdalne wykonanie kodu i pełną kompromitację serwera.
Rekomendacja
Należy natychmiast zaktualizować phpMyFAQ do wersji 4.1.6 lub nowszej oraz ograniczyć uprawnienia administratorów do niezbędnego minimum.
Oryginalny opis (angielski, źródło NVD)
phpMyFAQ before v4.1.6 contains a remote code execution vulnerability in the configuration API that allows authenticated administrators with CONFIGURATION_EDIT and ATTACHMENT_ADD privileges to write arbitrary PHP files by manipulating the upgrade.lastDownloadedPackage setting. Attackers can upload a malicious ZIP file as an attachment, point the updater configuration to its stored path, and extract it into the application root to achieve code execution as the web server user.