CVE-2026-76207
WysokieCVSS 8.1Streszczenie
phpMyFAQ przed wersją 4.1.7 zawiera podatność obejścia uwierzytelniania dwuskładnikowego, gdzie tokeny remember-me są wydawane przed zakończeniem weryfikacji 2FA. Atakujący z ważnymi poświadczeniami może uzyskać ciasteczko remember-me, pominąć wyzwanie 2FA i odtworzyć ciasteczko, aby uzyskać pełny uwierzytelniony dostęp bez weryfikacji drugiego czynnika.
Ocena ryzyka
Ryzyko przejęcia konta użytkownika bez przejścia weryfikacji dwuskładnikowej, co może prowadzić do nieautoryzowanego dostępu do danych.
Rekomendacja
Zaktualizuj phpMyFAQ do wersji 4.1.7 lub nowszej. Rozważ wyłączenie funkcji remember-me lub wymuszenie ponownej weryfikacji 2FA przy użyciu tokenów.
Oryginalny opis (angielski, źródło NVD)
phpMyFAQ before 4.1.7 contains a two-factor authentication bypass vulnerability where remember-me tokens are issued before 2FA verification completes. Attackers with valid credentials can obtain a remember-me cookie, skip the 2FA challenge, and replay the cookie to gain full authenticated access without second-factor verification.