Naar inhoud
PatchBriefing

Zoek in PatchBriefing

Typ minimaal twee tekens. Resultaten worden direct bijgewerkt.

Zoek op CVE’s, producten, packages en artikeltitels.

Niets gevonden. Kenmerken zoals CVE en GHSA zijn in beide talen doorzoekbaar.

Bekijk alle zoekresultaten
Inschrijven

Gemiddeld · 5.3 PHP-packages GHSA-8gpw-xvpf-hvx5 CVE-2026-56737 PKSA-tcxy-t63n-k6vh PKSA-p9tj-4psw-jkcc

phpMyFAQ: twee kritieke kwetsbaarheden maken overname van beheerdersaccounts mogelijk

Twee kwetsbaarheden in phpMyFAQ (CVE-2026-56737 en CVE-2026-56736) kunnen afzonderlijk of in combinatie worden misbruikt om beheerdersaccounts over te nemen: een omzeiling van tweefactorauthenticatie en een stored XSS-fout in de workflow voor het indienen en beoordelen van FAQ-items. Updates zijn beschikbaar.

Door AI gesynthetiseerd uit 8 bronnen · bijgewerkt 1 uur geleden
Bronnen · samengevoegd door AI 8 totaal

AI-samenvatting

In phpMyFAQ, een opensource FAQ-webapplicatie, zijn twee afzonderlijke kwetsbaarheden bekendgemaakt. De eerste stelt een niet-geauthenticeerde aanvaller in staat om de wachtwoordfactor van tweefactorauthenticatie (2FA) te omzeilen en zo elk account met 2FA over te nemen, inclusief beheerdersaccounts. De tweede is een stored cross-site scripting (XSS)-fout in de workflow voor het indienen en beoordelen van FAQ-items, die kan leiden tot het stelen van beheerderssessies. Voor beide problemen zijn updates beschikbaar; ze zijn geregistreerd onder afzonderlijke CVE-identifiers.

Wat is er gebeurd

Er zijn twee afzonderlijke beveiligingsproblemen bekendgemaakt in phpMyFAQ. CVE-2026-56737 is een authenticatie-omzeiling in de publieke verificatieflow van tweefactorauthenticatie: een niet-geauthenticeerde aanvaller kan het numerieke gebruikers-ID van een account samen met een geldige of via brute-force achterhaalde zescijferige TOTP-code indienen, zonder eerst het wachtwoord van het account op te geven, en zo toegang krijgen tot het account. CVE-2026-56736 is een stored XSS-kwetsbaarheid waarbij een door een gebruiker ingediend FAQ-item met geïnjecteerde JavaScript wordt uitgevoerd in de browser van een beheerder zodra deze het item beoordeelt of bewerkt, wat het stelen van sessies en overname van het beheerdersaccount mogelijk maakt.

Technische oorzaak

Bij CVE-2026-56737 vereist het verificatie-eindpunt voor 2FA niet dat er eerst een sessie tot stand is gebracht via succesvolle wachtwoordauthenticatie voordat een TOTP-code wordt geaccepteerd, waardoor de wachtwoordfactor volledig kan worden overgeslagen. Bij CVE-2026-56736 roept de applicatie html_entity_decode() aan nadat strip_tags() de invoer al heeft verwerkt, waardoor gecodeerde HTML-entiteiten worden omgezet naar uitvoerbare HTML. Het beheerdertemplate rendert deze inhoud vervolgens met Twig's |raw-filter zonder verdere opschoning van de uitvoer, waardoor geïnjecteerde scripts kunnen worden uitgevoerd in de browser van de beheerder.

Waarom dit belangrijk is

Beide kwetsbaarheden kunnen leiden tot volledige overname van beheerdersaccounts. De 2FA-omzeiling (CVE-2026-56737) haalt de bescherming weg die 2FA zou moeten bieden: een niet-geauthenticeerde aanvaller heeft alleen een numeriek gebruikers-ID en een TOTP-code nodig om een account over te nemen. De stored XSS (CVE-2026-56736) kan worden geactiveerd via het publieke FAQ-indienformulier door elke niet-geauthenticeerde of laag-geprivilegieerde gebruiker, en wordt uitgevoerd met beheerdersrechten zodra het item wordt beoordeeld, wat sessiediefstal en daaropvolgende administratieve controle over de applicatie mogelijk maakt.

Getroffen versies

CVE-2026-56737 treft phpMyFAQ (de packages thorsten/phpmyfaq en phpmyfaq/phpmyfaq) in versies 3.2.0 tot maar niet inclusief 4.1.6. CVE-2026-56736 treft versies vóór 4.2.0-alpha (de beschrijving geeft aan dat alle versies vóór die release worden getroffen).

Oplossingen en mitigatie

CVE-2026-56737 is verholpen in versie 4.1.6, waarin TOTP-verificatie wordt gebonden aan een sessie die pas tot stand komt na succesvolle wachtwoordauthenticatie, en waarin het aantal mislukte TOTP-pogingen wordt beperkt. Voor dit probleem is geen officiële tijdelijke oplossing gedocumenteerd. CVE-2026-56736 is verholpen in versie 4.2.0-alpha.

Aanbevolen actie

Beheerders die phpMyFAQ gebruiken, wordt aangeraden te upgraden naar versie 4.1.6 of hoger om de 2FA-omzeiling te verhelpen, en naar versie 4.2.0-alpha of hoger om de stored XSS-kwetsbaarheid te verhelpen. Omdat er geen tijdelijke oplossing bestaat voor de 2FA-omzeiling, is upgraden de enige gedocumenteerde oplossing.

PatchBriefing-score

5.3 / 10 · Gemiddeld

Officiële CVSS: 8.1

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

Waarom deze score

Beide kwetsbaarheden hebben een hoge CVSS-basisscore (8,1 voor CVE-2026-56737 en 8,2 voor CVE-2026-56736), wat hun potentieel weerspiegelt om via overname van beheerdersaccounts vertrouwelijkheid en integriteit volledig te compromitteren. De berekende PatchBriefing-scores (5,3 en 5,1) weerspiegelen de CVSS-basisscore in combinatie met het feit dat beide problemen op afstand en zonder authenticatie uitbuitbaar zijn, zonder dat er momenteel bewijs is van actieve exploitatie, publiek beschikbare exploitcode, of EPSS-gegevens die wijzen op een verhoogde kans op exploitatie op korte termijn.

Getroffen versies

thorsten/phpmyfaq >= 3.2.0, < 4.1.6
kwetsbaar
thorsten/phpmyfaq >=3.2.0,<4.1.6
kwetsbaar
≥ 4.1.6
gepatcht
phpmyfaq/phpmyfaq >= 3.2.0, < 4.1.6
kwetsbaar
phpmyfaq/phpmyfaq >=3.2.0,<4.1.6
kwetsbaar
≥ 4.1.6
gepatcht
thorsten/phpmyfaq < 4.2.0-alpha
kwetsbaar
thorsten/phpmyfaq <4.2.0-alpha
kwetsbaar
≥ 4.2.0-alpha
gepatcht
phpmyfaq/phpmyfaq < 4.2.0-alpha
kwetsbaar
phpmyfaq/phpmyfaq <4.2.0-alpha
kwetsbaar
≥ 4.2.0-alpha
gepatcht

Gemelde oplossingen

CVE-2026-56737 is verholpen in versie 4.1.6, waarin TOTP-verificatie wordt gebonden aan een sessie die pas tot stand komt na succesvolle wachtwoordauthenticatie, en waarin het aantal mislukte TOTP-pogingen wordt beperkt. Voor dit probleem is geen officiële tijdelijke oplossing gedocumenteerd. CVE-2026-56736 is verholpen in versie 4.2.0-alpha.

Hoe dit rapport is gemaakt

8 bronrecords zijn opgehaald, gekoppeld en gebruikt om het rapport hierboven op te stellen.

  • GitHub Advisory Database database
  • Packagist Security Advisories registry
  • Packagist Security Advisories registry
  • NVD (NIST) database
  • GitHub Advisory Database database
  • Packagist Security Advisories registry
Eén rapport
phpMyFAQ: twee kritieke kwetsbaarheden maken overname van beheerdersaccounts mogelijk
1 artikel · 8 bronnen geciteerd
Revisiegeschiedenis
  1. Gepubliceerd
  2. Gegenereerd
LAAG 1.9 PHP-packages 10 okt. CVE-2026-107848 — Contao: CSRF bij backend-acties Een CSRF-zwakte in contao/core-bundle maakt het mogelijk dat een geauthenticeerde backend-gebruiker onbedoeld staatveranderende backend-acties uitvoert via speciaal samengestelde URLs. Het probleem is opgelost in 5.3.50 en 5.7.12. (CVE-2026-107848, GHSA-9ff2-p842-45wq). Lees het volledige rapport → LAAG 2.6 PHP-packages 10 okt. Contao: onjuiste toegangscontrole in TableAccessVoter (CVE-2026-107851) Een cachingfout in contao/core-bundle's TableAccessVoter kan een laaggeprivilegeerde backendgebruiker toegang geven tot tabellen buiten zijn toegewezen modulepermissies; het probleem is verholpen in 5.7.12. (CVE-2026-107851) Lees het volledige rapport → LAAG 2.6 PHP-packages 10 okt. Contao: Onjuiste toegangscontrole in preview-links (CVE-2026-107850) Een fout in contao/core-bundle maakt het mogelijk dat niet‑admin backendgebruikers met de preview_link-module tl_preview_link-records kunnen opvragen, ondertekende deel‑URLs van andere gebruikers kunnen verkrijgen en daarmee ongepubliceerde pagina's kunnen bekijken. De leverancier lost dit op in 5.7.12. (Bronnen: 3965, 4166, 8435, 32350) Lees het volledige rapport →
De Ochtendbriefing

Relevante veranderingen voor de stacks die je volgt.

Kies je stacks, onderwerpen en eventueel WordPress-plugins. Om 07:00 CEST worden passende meldingen en releases uit de rapportageperiode in één e-mail gegroepeerd.

Inschrijven →

✓ Kies stacks en onderwerpen✓ Pas voorkeuren altijd aan✓ Eén gebundelde e-mail