CVE-2026-76215
ŚrednieCVSS 5.3Streszczenie
phpMyFAQ przed wersją 4.1.7 nie stosuje kontroli widoczności nadrzędnych wpisów FAQ przed zwróceniem zasobów podrzędnych, takich jak komentarze i załączniki. Niezalogowani atakujący mogą pobrać treść ograniczonych komentarzy, adresy e-mail komentujących oraz nazwy plików załączników dla wpisów FAQ, do których nie mają bezpośredniego dostępu, poprzez zapytania do endpointów API komentarzy i załączników.
Ocena ryzyka
Ryzyko ujawnienia poufnych informacji, takich jak treści komentarzy, adresy e-mail i nazwy plików, co może naruszyć prywatność użytkowników i bezpieczeństwo danych.
Rekomendacja
Zaktualizuj phpMyFAQ do wersji 4.1.7 lub nowszej, która zawiera poprawkę eliminującą podatność.
Oryginalny opis (angielski, źródło NVD)
phpMyFAQ before 4.1.7 fails to apply parent FAQ visibility checks before returning child resources including comments and attachments. Unauthenticated attackers can retrieve restricted comment text, commenter email addresses, and attachment filenames for FAQ records they cannot directly access by querying the comments and attachments API endpoints.