phpMyFAQ'de Şifre Gerektirmeden E-posta Değişikliği Açığı
Yapay zeka üretimi18.10.2026
- CVE
- CVE-2026-111884
- Ciddiyet
- Yüksek (CVSS 8.3)
- Firma / ürün
- - / -
Özet
phpMyFAQ 4.1.9 ve öncesi ile 4.2.0-alpha beta öncesi sürümlerde, kullanıcı kontrol panelinde e-posta adresi değiştirildiğinde mevcut şifre istenmiyor; bu durum oturum çalınmasıyla hesabın ele geçirilmesine yol açabilir.
Ayrıntılar
NVD kaydına göre, phpMyFAQ 4.1.9'dan önceki sürümler ve 4.2.0-alpha sürümünden 4.2.0-beta öncesi sürümlerde, kullanıcı kontrol panelinde (UserController::updateData, api/user/data/update) e-posta adresi değiştirilirken yalnızca oturum ve CSRF token kontrolü yapılmakta, mevcut şifre doğrulaması yapılmamaktadır. Bu eksiklik, ele geçirilmiş bir oturumla saldırganın e-posta adresini kendi hesabına yönlendirmesine ve şifre sıfırlama sürecini kullanarak iki faktörlü kimlik doğrulaması (2FA) olmayan, süperadmin dahil olmak üzere hesapları ele geçirmesine imkan tanır. CVSS puanı 8.3 olup, açığın ciddiyeti yüksek olarak sınıflandırılmıştır.
Önerilen adımlar
Üreticinin güvenlik duyurularını yakından takip edin, güncelleme yayımlandığında hemen uygulayın ve ürüne erişimi mümkün olduğunca sınırlı tutun.