CVE-2026-108904
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
pH7Builder (pH7 Social Dating CMS) przed wersją 18.5.0 zawiera podatność ujawnienia informacji, która pozwala klientom API uzyskać wrażliwe dane członków, ponieważ UserController::users() i user() zwracają niefiltrowane wiersze bazy danych. Atakujący posiadający ważny prywatny klucz API mogą odczytać hashe haseł bcrypt, niegasnące tokeny resetowania hashValidation oraz sekrety TOTP, aby przejąć konta i obejść uwierzytelnianie dwuskładnikowe.
Ocena ryzyka
Organizacja naraża się na przejęcie kont członków i obejście uwierzytelniania dwuskładnikowego przez atakujących z ważnym kluczem API. Ujawnienie hashów haseł i sekretów TOTP może prowadzić do pełnej kompromitacji kont użytkowników.
Rekomendacja
Zaktualizuj pH7Builder do wersji 18.5.0 lub nowszej oraz natychmiast unieważnij i wymień wszystkie klucze API. Wymuś reset haseł i ponowną rejestrację TOTP dla wszystkich członków, których dane mogły zostać ujawnione.
Inne podatności w pH7Builder
Zobacz wszystkie- CVE-2026-107637Średnie
pH7Builder (pH7 Social Dating CMS) przed wersją 18.5.0 zawiera podatność nieprawidłowej autoryzacji w module notatek (funkcja delete()), która pozwala uwierzytelnionym członkom na usuwanie komentarzy i kategorii notatek innych członków. Atakujący mogą przesłać ID notatki innego członka w parametrze POST id, aby usunąć wszystkie komentarze i powiązania kategorii, ponieważ zapytania nie sprawdzają ID profilu.
- CVE-2026-108905Wysokie
pH7Builder (pH7 Social Dating CMS) przed wersją 18.6.0 zawiera podatność związaną z zakodowanym na stałe kluczem API w pliku Tool.class.php, która pozwala nieuwierzytelnionym atakującym na obejście kontroli dostępu do API przez sfałszowanie nagłówka Host. Atakujący mogą wysłać Host: localhost z private_api_key=dev772277 i domyślnym dozwolonym URL, aby uzyskać adresy e-mail członków, adresy IP, numery telefonów i pola kont bankowych.
- CVE-2026-108903Średnie
pH7Builder (pH7 Social Dating CMS) w wersji przed 19.3.0 zawiera podatność obejścia CAPTCHA, która pozwala nieuwierzytelnionym atakującym pominąć walidację formularza poprzez podanie wybranego przez klienta identyfikatora formularza do PFBC Form::isValid(). Atakujący mogą załadować formularz bez CAPTCHA, taki jak logowanie lub wyszukiwanie, a następnie przesłać jego identyfikator wraz z danymi kontaktowymi, komentarzem, forum, zaproszeniem lub rejestracją, aby zautomatyzować nadużycia.
- CVE-2026-108902Wysokie
pH7Builder (pH7 Social Dating CMS) przed wersją 18.5.0 zawiera podatność polegającą na przechodzeniu przez katalogi w akcji deletePhoto() modułu picture, która pozwala uwierzytelnionym członkom na usuwanie dowolnych plików. Atakujący mogą dostarczyć sekwencje ../ w parametrze POST picture_link, aby usunąć zdjęcia innych członków lub pliki konfiguracyjne i cache, powodując utratę treści i odmowę usługi.
- CVE-2026-107638Średnie
pH7Builder (pH7 Social Dating CMS) przed wersją 18.5.0 zawiera podatność polegającą na nieprawidłowym ograniczeniu prób uwierzytelnienia, co pozwala atakującym na ominięcie dwuskładnikowego uwierzytelnienia poprzez zgadywanie kodów TOTP bez limitów. Atakujący znający hasło konta mogą wysyłać nieograniczoną liczbę 6-cyfrowych kodów weryfikacyjnych do pliku VerificationCodeFormProcess.php i przejąć konta członków, partnerów lub administratorów.
- CVE-2026-107636Średnie
pH7Builder (pH7 Social Dating CMS) przed wersją 18.5.1 zawiera podatność walidacji płatności, która pozwala zarejestrowanym użytkownikom o niskich uprawnieniach na uzyskanie dowolnego poziomu członkostwa poprzez podanie kontrolowanych przez klienta pól planu i kwoty. Atakujący mogą ustawić item_number, cart_order_id lub pole custom w PayPal, płacąc symboliczną kwotę, lub wysyłać nieukończone płatności IPN, aby uzyskać najdroższe członkostwo i jego płatne funkcje.
- CVE-2026-37604Średnie
pH7Software pH7Builder (pH7 Social Dating CMS) do wersji 18.2.0 ustala adres IP klienta w _protected/framework/Ip/Ip.class.php na podstawie nagłówków HTTP_CLIENT_IP i HTTP_X_FORWARDED_FOR bez weryfikacji, czy żądanie pochodzi z zaufanego proxy. Ponieważ licznik prób logowania administratora i blokada są oparte na tej wartości, zdalny nieuwierzytelniony atakujący omija ograniczenia IP, wysyłając inną wartość X-Forwarded-For przy każdym żądaniu.
- CVE-2026-37603Średnie
Nieprawidłowe ograniczenie nadmiernych prób uwierzytelniania w logowaniu administracyjnym pH7Software pH7Builder (pH7 Social Dating CMS) do wersji 19.2.0. Flaga eskalacji CAPTCHA jest przechowywana w sesji PHP jako captcha_admin_enabled, a element formularza CAPTCHA jest tworzony tylko wtedy, gdy flaga jest obecna, więc zdalny nieuwierzytelniony atakujący, który uzyska nową sesję przed każdą próbą logowania, nigdy nie otrzymuje wyzwania.
Oryginalny opis (angielski, źródło NVD)
pH7Builder (pH7 Social Dating CMS) before 18.5.0 contains an information disclosure vulnerability that allows API clients to obtain sensitive member data because UserController::users() and user() return unfiltered database rows. Attackers holding a valid private API key can retrieve bcrypt password hashes, non-expiring hashValidation reset tokens, and TOTP secrets to take over accounts and bypass two-factor authentication.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS