JVNDB-2026-031405

phpMyFAQにおける過度な認証試行の不適切な制限に関する脆弱性

phpMyFAQ 4.1.7 より前のバージョンには、二要素認証のステップでブルートフォース脆弱性が存在します。この脆弱性は、失敗カウンターがセッションスコープで管理され、パスワードの再認証に成功するたびにリセットされることに起因しています。正しいパスワードを持つ攻撃者は、新しいセッションクッキーを取得して繰り返し再認証することで、5回の試行制限を回避し、無制限にTOTPコードを推測できるようになります。

phpMyFAQ

• phpMyFAQ 4.1.7 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Admin 2FA brute-force throttle is session-scoped, so a fresh cookie jar resets the counter and TOTP codes can be guessed at will  Advisory  thorsten/phpMyFAQ  GitHub

VulnCheck

• VulnCheck : phpMyFAQ before 4.1.7 2FA Brute-Force via Session-Scoped Throttle  | Advisories | VulnCheck

1. 過度な認証試行の不適切な制限(CWE-307) [その他]

1. CVE-2026-76213

1. National Vulnerability Database (NVD) : CVE-2026-76213

• [2026年09月02日]
    掲載