phpMyFAQ: Umgehung der Autorisierung in der API für Besucherfragen

Zusammenfassung

phpMyFAQ vor 4.1.10 enthält eine Umgehung der Autorisierung auf Objektebene im Endpunkt POST /api/faq/create. Der Endpunkt akzeptiert eine beliebige openQuestionID ohne Prüfung von Eigentümerschaft oder Berechtigung, sodass ein nicht angemeldeter Besucher, der das CAPTCHA löst, die Kategorie jeder Besucherfrage ändern und gefälschte Einträge «beantwortet» in der Fragehistorie erzeugen kann. Ist die Administratoroption records.enableDeleteQuestion aktiviert, löscht dieselbe Anfrage die betroffene Frage dauerhaft. Der CNA bewertet die Lücke mit CVSS 4.0 8.7 (hoch); der NVD-Status ist Deferred.

Betroffen

• phpMyFAQ-Versionen vor 4.1.10 (CVE-Eintrag: 0 bis < 4.1.10)
• Der Schweregrad hängt von records.enableDeleteQuestion ab: deaktiviert (Standard) hoch, aktiviert kritisch (Herstellerhinweis: CVSS 3.1 7.5 und 9.1)

Behoben in

• Auf phpMyFAQ 4.1.10 oder neuer aktualisieren (Herstellerhinweis nennt 4.1.10 als gepatchte Version)
• Die neueste Version zum Zeitpunkt der Recherche war 4.1.11; auf 4.1.11 oder neuer aktualisieren und den Herstellerhinweis für Details prüfen

Umgehung

• Keine vom Hersteller dokumentierte Massnahme. Das Aktualisieren ist die einzige dokumentierte Behebung.
• Übergangsmassnahme (nicht vom Hersteller): Externen Zugriff auf /api/faq/create am Reverse Proxy oder WAF sperren oder einschränken, falls das öffentliche Einreichen von Fragen nicht benötigt wird.
• Sicherstellen, dass records.enableDeleteQuestion deaktiviert ist.

Ausnutzung

• Keine Ausnutzung gemeldet; nicht im CISA-KEV-Katalog.
• CISA SSVC: Ausnutzung keine, automatisierbar ja.
• Bei der Recherche wurde kein öffentlicher Proof of Concept gefunden; ein nicht öffentlicher PoC kann nicht ausgeschlossen werden.

Unsere Empfehlung

• Alle phpMyFAQ-Installationen auf 4.1.11 oder neuer aktualisieren, zuerst die aus dem Internet erreichbaren.
• Bis zur Aktualisierung den Zugriff auf die Fragen-API einschränken oder das öffentliche Einreichen von Fragen deaktivieren.
• Sicherstellen, dass records.enableDeleteQuestion deaktiviert ist.
• Datenbank auf unerwartete Kategorieänderungen oder fehlende Besucherfragen prüfen und Backups sicherstellen.
• Webserver-Logs auf POST-Anfragen an /api/faq/create überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-9m55-g84r-x6v7 github.com
• VulnCheck advisory: phpMyFAQ before 4.1.10 authorization bypass www.vulncheck.com
• VulDB CVE-2026-116183 vuldb.com
• phpMyFAQ advisories www.phpmyfaq.de
• phpMyFAQ security policy github.com
• threatint CVE-2026-116183 cve.threatint.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 00:17.