phpMyFAQ 4.1.9 öncesi sürümlerde yetkisiz kullanıcı hesabı silme açığı
Yapay zeka üretimi18.10.2026
- CVE
- CVE-2026-111909
- Ciddiyet
- Yüksek (CVSS 8.1)
- Firma / ürün
- - / -
Özet
phpMyFAQ 4.1.9'dan önceki sürümlerde, deleteUser() API'sindeki yetkilendirme eksikliği, delete_user izni olan oturum açmış normal kullanıcıların süper yönetici hesaplarını silmesine olanak tanıyor.
Ayrıntılar
NVD kaydına göre, phpMyFAQ 4.1.9'dan önceki sürümlerde deleteUser() API'sinde yetkilendirme eksikliği bulunuyor. Bu eksiklik, delete_user iznine sahip oturum açmış normal kullanıcıların, süper yönetici hesabının kimliğini (1 dışındaki bir userId) belirterek DELETE isteği göndermesiyle süper yönetici hesabını silmelerine imkan tanıyor. Sonuç olarak yönetici erişimi kaybediliyor ve sistemde sorumluluk izlenebilirliği ortadan kalkıyor. Açığın ciddiyeti CVSS 8.1 puanıyla yüksek olarak sınıflandırılmıştır.
Önerilen adımlar
Üreticinin güvenlik duyurularını yakından takip edin, güncelleme yayımlandığında derhal uygulayın ve phpMyFAQ yönetim arayüzüne erişimi yalnızca güvenilir kullanıcılarla sınırlayın.