CVE-2026-76209
ŚrednieCVSS 4.3Streszczenie
phpMyFAQ przed wersją 4.1.6 nie sprawdza ustawienia security.enableRegistration w punktach API, co pozwala atakującym na tworzenie kont użytkowników, gdy rejestracja jest wyłączona. Atakujący mogą ominąć ograniczenie rejestracji, wysyłając żądania do punktów POST /api/register lub POST /api/v3.1/register, które nie sprawdzają flagi konfiguracyjnej egzekwowanej przez stronę HTML rejestracji.
Ocena ryzyka
Ryzyko polega na nieautoryzowanym tworzeniu kont użytkowników, co może prowadzić do nieautoryzowanego dostępu do systemu i potencjalnego naruszenia bezpieczeństwa danych.
Rekomendacja
Zaleca się natychmiastową aktualizację phpMyFAQ do wersji 4.1.6 lub nowszej, która zawiera poprawkę walidacji ustawienia rejestracji w API.
Oryginalny opis (angielski, źródło NVD)
phpMyFAQ versions before v4.1.6 fail to validate the security.enableRegistration setting in API endpoints, allowing attackers to create user accounts when registration is disabled. Attackers can bypass the registration restriction by submitting requests to POST /api/register or POST /api/v3.1/register endpoints, which do not check the configuration flag enforced by the HTML registration page.