CVE-2023-2429

Nieprawidłowa kontrola dostępu w phpMyFAQ przed wersją 3.1.13

CVSS 9.8v3.1pub. 2023-04-30upd. 2025-01-30

W aplikacji phpMyFAQ w wersjach wcześniejszych niż 3.1.13 wykryto krytyczną podatność polegającą na nieprawidłowej kontroli dostępu (Improper Access Control). Podatność uzyskała ocenę CVSS 9.8, co oznacza możliwość przejęcia pełnej kontroli nad systemem przez nieuwierzytelnionego atakującego zdalnie.

▸ Pokaż oryginał (EN)

Improper Access Control in GitHub repository thorsten/phpmyfaq prior to 3.1.13.

🤖 Analiza AI

Jak działa

Błąd sklasyfikowany jako CWE-284 (Improper Access Control) wskazuje, że aplikacja nie weryfikuje poprawnie uprawnień użytkownika przed udostępnieniem określonych zasobów lub funkcjonalności. Atakujący może uzyskać nieautoryzowany dostęp do chronionych obszarów aplikacji bez konieczności posiadania poświadczeń. Wektor ataku jest sieciowy, nie wymaga żadnych uprawnień ani interakcji ze strony użytkownika, co czyni podatność szczególnie niebezpieczną.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do poufnych danych, modyfikować lub niszczyć zawartość aplikacji oraz potencjalnie doprowadzić do całkowitego naruszenia poufności, integralności i dostępności systemu.

Mitygacja

Należy zaktualizować phpMyFAQ do wersji 3.1.13 lub nowszej. Poprawka została wprowadzona w commicie 07552f5577ff8b1e6f7cdefafcce9b2a744d3a24 dostępnym w oficjalnym repozytorium GitHub.

Kogo dotyczy

phpMyFAQ w wersjach wcześniejszych niż 3.1.13 (repozytorium thorsten/phpmyfaq na GitHub)

Uwagi

Podatność zgłoszona za pośrednictwem platformy huntr.dev (program bug bounty). Szczegóły dostępne pod adresem: huntr.com/bounties/20d3a0b3-2693-4bf1-b196-10741201a540