CVE-2026-24421
phpMyFAQ: falta de autorización expone /api/setup/backup a cualquier usuario autenticado
- Publicado
- 24 ene 2026
- Actualizado
- 26 ene 2026
- Asignación de CNA
- GitHub_M
- Evidencia observada
- 29 abr 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:NBajo · próximos 30 días
- Percentil
- 76,8 %
- Fecha del modelo
- 21 sept 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
phpMyFAQ es una aplicación web de preguntas frecuentes de código abierto. Las versiones 4.0.16 e inferiores tienen una lógica de autorización defectuosa que expone el endpoint /API/setup/backup a cualquier usuario autenticado a pesar de sus permisos. SetupController.php utiliza userIsAuthenticated() pero no verifica que el solicitante tenga permisos de configuración/administrador. Los usuarios no administradores pueden activar una copia de seguridad de la configuración y recuperar su ruta. El endpoint solo comprueba la autenticación, no la autorización, y devuelve un enlace al ZIP generado. Este problema está solucionado en la versión 4.0.17.
Fuentes
1contact · php · 29 abr 2026
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.