phpMyFAQはオープンソースのFAQウェブアプリケーションです。バージョン4.0.16以下には認可ロジックの欠陥があり、権限に関係なく認証された全てのユーザーが/api/setup/backupエンドポイントにアクセスできてしまいます。SetupController.phpはuserIsAuthenticated()を使用していますが、リクエスターが設定や管理者権限を持っているかどうかを確認していません。そのため、非管理者ユーザーでも設定バックアップを実行し、そのパスを取得できてしまいます。このエンドポイントは認証のみを確認し、認可を確認しません。そして、生成されたZIPへのリンクを返します。この問題はバージョン4.0.17で修正されました。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。