CVE-2026-108903
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
pH7Builder (pH7 Social Dating CMS) w wersji przed 19.3.0 zawiera podatność obejścia CAPTCHA, która pozwala nieuwierzytelnionym atakującym pominąć walidację formularza poprzez podanie wybranego przez klienta identyfikatora formularza do PFBC Form::isValid(). Atakujący mogą załadować formularz bez CAPTCHA, taki jak logowanie lub wyszukiwanie, a następnie przesłać jego identyfikator wraz z danymi kontaktowymi, komentarzem, forum, zaproszeniem lub rejestracją, aby zautomatyzować nadużycia.
Ocena ryzyka
Organizacje korzystające z pH7Builder są narażone na zautomatyzowane nadużycia, takie jak spam, masowe rejestracje czy ataki na formularze kontaktowe, co może prowadzić do zaśmiecenia systemu i obciążenia zasobów.
Rekomendacja
Zaktualizuj pH7Builder do wersji 19.3.0 lub nowszej, która naprawia tę podatność. Do czasu aktualizacji rozważ dodatkowe mechanizmy weryfikacji po stronie serwera dla wszystkich formularzy.
Inne podatności w pH7Builder
Zobacz wszystkie- CVE-2026-107637Średnie
pH7Builder (pH7 Social Dating CMS) przed wersją 18.5.0 zawiera podatność nieprawidłowej autoryzacji w module notatek (funkcja delete()), która pozwala uwierzytelnionym członkom na usuwanie komentarzy i kategorii notatek innych członków. Atakujący mogą przesłać ID notatki innego członka w parametrze POST id, aby usunąć wszystkie komentarze i powiązania kategorii, ponieważ zapytania nie sprawdzają ID profilu.
- CVE-2026-108905Wysokie
pH7Builder (pH7 Social Dating CMS) przed wersją 18.6.0 zawiera podatność związaną z zakodowanym na stałe kluczem API w pliku Tool.class.php, która pozwala nieuwierzytelnionym atakującym na obejście kontroli dostępu do API przez sfałszowanie nagłówka Host. Atakujący mogą wysłać Host: localhost z private_api_key=dev772277 i domyślnym dozwolonym URL, aby uzyskać adresy e-mail członków, adresy IP, numery telefonów i pola kont bankowych.
- CVE-2026-108904Średnie
pH7Builder (pH7 Social Dating CMS) przed wersją 18.5.0 zawiera podatność ujawnienia informacji, która pozwala klientom API uzyskać wrażliwe dane członków, ponieważ UserController::users() i user() zwracają niefiltrowane wiersze bazy danych. Atakujący posiadający ważny prywatny klucz API mogą odczytać hashe haseł bcrypt, niegasnące tokeny resetowania hashValidation oraz sekrety TOTP, aby przejąć konta i obejść uwierzytelnianie dwuskładnikowe.
- CVE-2026-108902Wysokie
pH7Builder (pH7 Social Dating CMS) przed wersją 18.5.0 zawiera podatność polegającą na przechodzeniu przez katalogi w akcji deletePhoto() modułu picture, która pozwala uwierzytelnionym członkom na usuwanie dowolnych plików. Atakujący mogą dostarczyć sekwencje ../ w parametrze POST picture_link, aby usunąć zdjęcia innych członków lub pliki konfiguracyjne i cache, powodując utratę treści i odmowę usługi.
- CVE-2026-107638Średnie
pH7Builder (pH7 Social Dating CMS) przed wersją 18.5.0 zawiera podatność polegającą na nieprawidłowym ograniczeniu prób uwierzytelnienia, co pozwala atakującym na ominięcie dwuskładnikowego uwierzytelnienia poprzez zgadywanie kodów TOTP bez limitów. Atakujący znający hasło konta mogą wysyłać nieograniczoną liczbę 6-cyfrowych kodów weryfikacyjnych do pliku VerificationCodeFormProcess.php i przejąć konta członków, partnerów lub administratorów.
- CVE-2026-107636Średnie
pH7Builder (pH7 Social Dating CMS) przed wersją 18.5.1 zawiera podatność walidacji płatności, która pozwala zarejestrowanym użytkownikom o niskich uprawnieniach na uzyskanie dowolnego poziomu członkostwa poprzez podanie kontrolowanych przez klienta pól planu i kwoty. Atakujący mogą ustawić item_number, cart_order_id lub pole custom w PayPal, płacąc symboliczną kwotę, lub wysyłać nieukończone płatności IPN, aby uzyskać najdroższe członkostwo i jego płatne funkcje.
- CVE-2026-37604Średnie
pH7Software pH7Builder (pH7 Social Dating CMS) do wersji 18.2.0 ustala adres IP klienta w _protected/framework/Ip/Ip.class.php na podstawie nagłówków HTTP_CLIENT_IP i HTTP_X_FORWARDED_FOR bez weryfikacji, czy żądanie pochodzi z zaufanego proxy. Ponieważ licznik prób logowania administratora i blokada są oparte na tej wartości, zdalny nieuwierzytelniony atakujący omija ograniczenia IP, wysyłając inną wartość X-Forwarded-For przy każdym żądaniu.
- CVE-2026-37603Średnie
Nieprawidłowe ograniczenie nadmiernych prób uwierzytelniania w logowaniu administracyjnym pH7Software pH7Builder (pH7 Social Dating CMS) do wersji 19.2.0. Flaga eskalacji CAPTCHA jest przechowywana w sesji PHP jako captcha_admin_enabled, a element formularza CAPTCHA jest tworzony tylko wtedy, gdy flaga jest obecna, więc zdalny nieuwierzytelniony atakujący, który uzyska nową sesję przed każdą próbą logowania, nigdy nie otrzymuje wyzwania.
Oryginalny opis (angielski, źródło NVD)
pH7Builder (pH7 Social Dating CMS) before 19.3.0 contains a CAPTCHA bypass vulnerability that allows unauthenticated attackers to skip form validation by supplying a client-chosen form ID to PFBC Form::isValid(). Attackers can load a CAPTCHA-free form like login or search, then submit its ID with contact, comment, forum, invite or signup data to automate abuse.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS