Qu'est-ce que c'est ?
Résumé
Les versions de phpMyFAQ antérieures à 4.1.8 comportent un défaut de contrôle d'accès au niveau des pages d'administration du contenu. Cette vulnérabilité permet à des utilisateurs disposant uniquement des droits d'ajout d'accéder aux fonctions d'édition des actualités et de traduction des FAQ pour lire des contenus inactifs ou à l'état de brouillon. L'impact concret est la divulgation d'informations internes non publiées à des rédacteurs normalement restreints.
phpMyFAQ before 4.1.8 enforces incorrect permission checks on admin content pages, allowing lesser-privileged editors to read draft and inactive content. Attackers with only add permissions can access news edit and FAQ translate endpoints to view unpublished content invisible to the public.
Technologies affectées
Non précisé par la fiche NVD.
Recommandation
Mettez immédiatement à jour phpMyFAQ vers la version 4.1.8 ou une version supérieure. En attendant l'application du correctif, révoquez temporairement les droits d'ajout des comptes éditeurs non indispensables et limitez l'accès à l'interface d'administration aux seuls profils pleinement fiables.
Généré automatiquement à partir de la description CVE -- vérifie les références officielles avant d'agir.
Exploits publics connus (0)
Aucun proof-of-concept public trouvé sur GitHub à ce jour. Ça peut changer : les PoC sont souvent publiés plusieurs jours ou semaines après la divulgation.