关键信息 漏洞概述 漏洞名称: Duplicate email registration allows multiple accounts with the same email in phpMyFAQ CVE ID: CVE-2025-59943 GHSA ID: GHSA-9wj2-4hcm-r74j 严重性: High (8.1/10) 影响版本 受影响版本: 4.0.7 修复版本: N/A 描述 摘要: phpMyFAQ在用户注册时未强制电子邮件地址的唯一性，允许使用同一电子邮件创建多个不同的账户。这可能导致账户模糊，并在某些配置下导致权限提升或账户接管。 详细信息: 由于phpMyFAQ中的账户管理逻辑缺陷，攻击者可以使用同一电子邮件注册多个账户。如果电子邮件用于密码重置或管理流程，这可能导致账户接管、责任丧失和业务逻辑滥用。 PoC（概念验证） 1. 使用 注册一个用户。 2. 使用相同的电子邮件注册另一个用户。 3. 两个账户都会出现在 中。 影响 数据完整性损失: 多个账户映射到一个电子邮件破坏了可审计性。 密码重置模糊: 如果重置流程仅依赖于电子邮件，攻击者可以针对或接管账户。 权限提升: 如果具有相同电子邮件的账户有管理员权限，控制该电子邮件的攻击者可能会提升权限。 垃圾邮件/DoS: 攻击者可以使用单个电子邮件批量注册账户以污染系统。 CVSS v3 基本指标 攻击向量: Network 攻击复杂度: Low 所需特权: None 用户交互: Required 范围: Unchanged 机密性影响: High 完整性影响: High 可用性影响: None 弱点 CWE: No CWEs 致谢 报告者: halas98