CVE-2026-111909
CVE-2026-111909 · phpMyFAQ before 4.1.9 Missing Authorization Allows Superadmin Deletion via deleteUser API
Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.
phpMyFAQ before 4.1.9 contains a missing authorization vulnerability in the deleteUser() API that allows authenticated non-superadmin users with delete_user permission to delete superadmin accounts. Attackers can send a DELETE request to /admin/api/user/delete with a superadmin's userId other than 1, removing administrative access and accountability.
CVSS 7.2 · Alta · EPSS 0,3% · Corrección disponible
- Publicación
- Actualización
Productos y versiones afectados
phpmyfaq
- Versiones
- ≥ 0, < 4.1.9: Afectada (semver)
- 4.1.9: No afectada (semver)
Actualiza a 4.1.9