CVE-2026-57994
CVE-2026-57994 · phpMyFAQ - Information Disclosure of Inactive FAQ Content via Public API Endpoints
Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.
phpMyFAQ before 4.1.5 applies inconsistent active=yes and publication-date filtering across its public FAQ API endpoints, allowing unauthenticated attackers to retrieve inactive (draft or review-only) FAQ content. Specifically, GET /api/v3.1/faq/{categoryId}/{faqId} returns the inactive FAQ title and full answer, while GET /api/v3.1/faqs/tags/{tagId} and GET /api/v4.0/faqs/tags/{tagId} return the inactive FAQ title and answer preview, disclosing non-public content.
CVSS 6.9 · Moyenne · EPSS 0,4% · Correctif disponible
- Publication
- Mise à jour
Pile logicielle: php
Produits et versions concernés
phpmyfaq
- Versions du logiciel
- ≥ 4.1.0, < 4.1.5: Concernée (semver)
- 4.1.5: Non concernée (semver)
Mettez à jour vers 4.1.5
thorsten/phpmyfaq Packagist
- Versions du logiciel
- 4.1.0
- 4.1.1
- 4.1.2
- 4.1.3
- 4.1.4
- Plages de versions concernées
- ECOSYSTEM: ≥ 4.1.0, < 4.1.5
Mettez à jour vers 4.1.5
phpmyfaq/phpmyfaq Packagist
- Versions du logiciel
- 4.1.0
- 4.1.1
- 4.1.2
- 4.1.3
- 4.1.4
- Plages de versions concernées
- ECOSYSTEM: ≥ 4.1.0, < 4.1.5
Mettez à jour vers 4.1.5