CVE-2026-57994
CVE-2026-57994 · phpMyFAQ - Information Disclosure of Inactive FAQ Content via Public API Endpoints
Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.
phpMyFAQ before 4.1.5 applies inconsistent active=yes and publication-date filtering across its public FAQ API endpoints, allowing unauthenticated attackers to retrieve inactive (draft or review-only) FAQ content. Specifically, GET /api/v3.1/faq/{categoryId}/{faqId} returns the inactive FAQ title and full answer, while GET /api/v3.1/faqs/tags/{tagId} and GET /api/v4.0/faqs/tags/{tagId} return the inactive FAQ title and answer preview, disclosing non-public content.
CVSS 6.9 · Media · EPSS 0,4% · Corrección disponible
- Publicación
- Actualización
Pila tecnológica: php
Productos y versiones afectados
phpmyfaq
- Versiones
- ≥ 4.1.0, < 4.1.5: Afectada (semver)
- 4.1.5: No afectada (semver)
Actualiza a 4.1.5
thorsten/phpmyfaq Packagist
- Versiones
- 4.1.0
- 4.1.1
- 4.1.2
- 4.1.3
- 4.1.4
- Intervalos de versiones afectados
- ECOSYSTEM: ≥ 4.1.0, < 4.1.5
Actualiza a 4.1.5
phpmyfaq/phpmyfaq Packagist
- Versiones
- 4.1.0
- 4.1.1
- 4.1.2
- 4.1.3
- 4.1.4
- Intervalos de versiones afectados
- ECOSYSTEM: ≥ 4.1.0, < 4.1.5
Actualiza a 4.1.5