Veille CVE

‹ Retour à la liste

CVE-2026-111888

2.7 Faible

Publiée le 17/10/2026 à 21:16 · Modifiée le 18/10/2026 à 14:17 · Analyse NVD reportée · Source : disclosure@vulncheck.com

Description

phpMyFAQ from 4.0.0 before 4.1.9 contains an incorrect authorization vulnerability that allows delegated admins lacking the editnews right to modify news by calling PUT /admin/api/news/update, which checks NEWS_DELETE instead of NEWS_EDIT. Attackers holding addnews and delnews can read the update-news CSRF token from their own cookie and rewrite any news item's header, body, author, link and active flag shown on the public front page.

Traduire en français

Produits concernés

Scores CVSS

VersionScoreSourceVecteur
4.0 5.1 Moyenne disclosure@vulncheck.com CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
3.1 2.7 Faible disclosure@vulncheck.com CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:L/A:N

Faiblesses (CWE)

Références

Ailleurs