Zaloguj się
Deutsch English Español Polski
Średnia

phpMyFAQ: /api/setup/backup accessible to any authenticated user (authz missing)

  • Ujawniono: 23.01.2026
  • Aktualizacja: 11.10.2026 10:22

Summary

Authenticated non‑admin users can call /api/setup/backup and trigger a configuration backup. The endpoint only checks authentication, not authorization, and returns a link to the generated ZIP.

Details

SetupController.php uses userIsAuthenticated() but does not verify that the requester has configuration/admin permissions. This allows any logged‑in user to create a sensitive backup and retrieve its path.

PoC

Precondition: API enabled, any authenticated non‑admin user.

  • Log in as a non‑admin user.
  • Call backup endpoint.
bash
curl -c /tmp/pmf_api_cookies.txt \
  -H 'Content-Type: application/json' \
  -d '{"username":"tester","password":"Test1234!"}' \
  http://192.168.40.16/phpmyfaq/api/v3.0/login

curl -i -b /tmp/pmf_api_cookies.txt \
  -X POST --data '4.0.16' \
  http://192.168.40.16/phpmyfaq/api/setup/backup

Impact

Low‑privileged users can generate sensitive backups. If the ZIP is web‑accessible (server misconfiguration), this can lead to secret exposure.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Paczka Composer phpmyfaq/phpmyfaq < 4.0.17 4.0.17
Paczka Composer thorsten/phpmyfaq < 4.0.17 4.0.17

Odnośniki

Ocena CVSS 6.5/10
Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
Słabość (CWE)
CWE-285, CWE-862
Platforma
Composer
Paczka
phpmyfaq/phpmyfaq, thorsten/phpmyfaq
Ujawniono
23.01.2026
Aktualizacja
11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-wm8h-26fv-mg7g - CC BY 4.0

Historia podatności: thorsten/phpmyfaq

Wszystkie opisane podatności tej paczki (Paczka Composer), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (112) w archiwum
Wszystkich wpisów
112
Pierwsza → ostatnia
05.2022 09.2026
Bez poprawki
2
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 8
  • Wysoka 36
  • Średnia 67
  • Niska 1

Ujawnienia w latach

Istotność:
  1. phpMyFAQ has SQL Injection in `StopWords::add()` — Unescaped Stop Word Insertion
    Wysoka CVE-2026-56738 < 4.1.6 4.1.6
  2. phpMyFAQ's two-factor authentication login bypasses the password factor
    Wysoka · 8.1 CVE-2026-56737 >= 3.2.0, < 4.1.6 4.1.6
  3. phpMyFAQ has Stored XSS in Admin FAQ Editor via HTML Entity Bypass in Frontend FAQ Submission
    Wysoka · 8.2 CVE-2026-56736 < 4.2.0-alpha 4.2.0-alpha
  4. phpMyFAQ privilege escalation: GroupController::updatePermissions lets a GROUP_EDIT admin grant rights they do not hold
    Wysoka · 8.8 CVE-2026-57995 < 4.1.5 4.1.5
  5. phpMyFAQ has an incomplete fix for GHSA-xvp4-phqj-cjr3 — editUser() and updateUserRights() lack authorization guards
    Wysoka · 8.1 CVE-2026-56396 < 4.1.4 4.1.4
  6. phpMyFAQ: Missing Password Reset Token Allows Account Takeover via Username/Email Enumeration
    Wysoka · 8.2 CVE-2026-35675 < 4.1.3 4.1.3
  7. phpMyFAQ: Default Empty API Token Authentication Bypass
    Wysoka · 7.5 CVE-2026-35672 < 4.1.3 4.1.3
  8. phpMyFAQ: IDOR Account Takeover
    Wysoka · 8.8 CVE-2026-35671 < 4.1.3 4.1.3
  9. phpMyFAQ: Unauthenticated Password Reset Endpoint Allows User Enumeration and Forced Password Change Without Token Validation
    Wysoka · 8.2 CVE-2026-35676 < 4.1.3 4.1.3
  10. phpMyFAQ has unauthenticated SQL injection via User-Agent header in BuiltinCaptcha
    Krytyczna · 9.8 CVE-2026-46364 < 4.1.2 4.1.2
  11. phpMyFAQ has unauthenticated FAQ permission bypass via getFaqBySolutionId fallback query
    Wysoka · 7.5 CVE-2026-46366 < 4.1.2 4.1.2
  12. phpMyFAQ has SQL Injection in CurrentUser::setTokenData through unescaped OAuth token fields
    Wysoka · 7.5 CVE-2026-46359 < 4.1.2 4.1.2
  13. phpMyFAQ enables unauthenticated 2FA brute-force attack via /admin/check acceptance of arbitrary user-id
    Krytyczna · 9.1 CVE-2026-45010 < 4.1.2 4.1.2
  14. phpMyFAQ has stored XSS via Utils::parseUrl() in comment rendering
    Wysoka · 7.6 CVE-2026-46367 >= 4.1.1, < 4.1.2 4.1.2
  15. phpMyFAQ Allows Unauthenticated Account Creation via WebAuthn Prepare Endpoint
    Wysoka · 7.5 CVE-2026-27836 < 4.0.18 4.0.18
  16. phpMyFAQ: /api/setup/backup accessible to any authenticated user (authz missing) ten wpis
    Średnia · 6.5 CVE-2026-24421 < 4.0.17 4.0.17
  17. phpMyFAQ has unauthenticated config backup download via /api/setup/backup
    Wysoka · 7.5 CVE-2025-69200 < 4.0.16, >= 4.1.0-alpha, <= 4.1.0-beta.2 4.0.16
  18. phpMyFAQ has Authenticated SQL Injection in Configuration Update Functionality
    Wysoka · 7.2 CVE-2025-62519 < 4.0.14 4.0.14
  19. phpMyFAQ duplicate email registration allows multiple accounts with the same email
    Wysoka · 8.1 CVE-2025-59943 >= 4.0.7, < 4.0.13 4.0.13
  20. phpMyFAQ Generates an Error Message Containing Sensitive Information if database server is not available
    Wysoka · 8.6 CVE-2024-54141 < 4.0.0 4.0.0
  21. Insufficient Session Expiration in thorsten/phpmyfaq
    Wysoka · 7.6 CVE-2023-5865 < 3.2.2 3.2.2
  22. phpMyFAQ Cross-site Scripting vulnerability
    Wysoka · 7.4 CVE-2023-5864 < 3.2.1 3.2.1
  23. phpMyFAQ Cross-site Scripting vulnerability
    Wysoka · 8.3 CVE-2023-5319 < 3.1.18 3.1.18
  24. phpMyFAQ Cross-site Scripting vulnerability
    Krytyczna · 9.0 CVE-2023-5320 < 3.1.18 3.1.18
  25. phpMyFAQ Cross-site Scripting vulnerability
    Krytyczna · 9.1 CVE-2023-5316 < 3.1.18 3.1.18
  26. phpMyFAQ Stored Cross-site Scripting vulnerability
    Wysoka · 8.8 CVE-2023-4007 < 3.1.16 3.1.16
  27. phpMyFAQ Improper Neutralization of Formula Elements in a CSV File vulnerability
    Wysoka · 8.8 CVE-2023-4006 < 3.1.16 3.1.16
  28. Cross Site Scripting in thorsten/phpmyfaq
    Wysoka · 8.2 CVE-2023-2550 < 3.1.13 3.1.13
  29. thorsten/phpmyfaq vulnerable to business logic errors
    Wysoka · 8.3 CVE-2023-1887 < 3.1.12 3.1.12
  30. thorsten/phpmyfaq vulnerable to authentication bypass
    Wysoka · 7.3 CVE-2023-1886 < 3.1.12 3.1.12
  31. thorsten/phpmyfaq vulnerable to DOM cross-site scripting (XSS) via configuration privacy note URL parameter
    Wysoka · 8.1 CVE-2023-1882 < 3.1.12 3.1.12
  32. thorsten/phpmyfaq vulnerable to stored cross-site scripting (XSS) via artlang parameter
    Wysoka · 8.3 CVE-2023-1880 < 3.1.12 3.1.12
  33. thorsten/phpmyfaq vulnerable to stored cross-site scripting (XSS) via adminlog
    Wysoka · 8.3 CVE-2023-1878 < 3.1.12 3.1.12
  34. thorsten/phpmyfaq vulnerable to stored cross-site scripting (XSS) in FAQ comment username parameter
    Wysoka · 8.9 CVE-2023-1758 < 3.1.12 3.1.12
  35. thorsten/phpmyfaq vulnerable to stored cross-site scripting (XSS) via FAQ News link parameter
    Wysoka · 8.1 CVE-2023-1757 < 3.1.12 3.1.12
  36. thorsten/phpmyfaq vulnerable privilege escalation from improper privilege management
    Wysoka · 8.8 CVE-2023-1762 < 3.1.12 3.1.12
  37. Code Injection in thorsten/phpmyfaq
    Krytyczna · 9.8 CVE-2023-0788 < 3.1.11 3.1.11
  38. Command Injection in thorsten/phpmyfaq
    Krytyczna · 9.8 CVE-2023-0789 < 3.1.11 3.1.11
  39. Uncaught Exception in thorsten/phpmyfaq
    Wysoka · 8.8 CVE-2023-0790 < 3.1.11 3.1.11
  40. Weak Password Requirements in thorsten/phpmyfaq
    Wysoka · 8.8 CVE-2023-0793 < 3.1.11 3.1.11
Pokaż więcej (5) Widać 40 z 45

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.