CVE-2026-108905
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
pH7Builder (pH7 Social Dating CMS) przed wersją 18.6.0 zawiera podatność związaną z zakodowanym na stałe kluczem API w pliku Tool.class.php, która pozwala nieuwierzytelnionym atakującym na obejście kontroli dostępu do API przez sfałszowanie nagłówka Host. Atakujący mogą wysłać Host: localhost z private_api_key=dev772277 i domyślnym dozwolonym URL, aby uzyskać adresy e-mail członków, adresy IP, numery telefonów i pola kont bankowych.
Ocena ryzyka
Ryzyko nieautoryzowanego dostępu do wrażliwych danych użytkowników, takich jak dane kontaktowe i finansowe, może prowadzić do naruszenia prywatności i wycieku danych. Organizacja może ponieść straty finansowe i reputacyjne.
Rekomendacja
Zaleca się natychmiastową aktualizację pH7Builder do wersji 18.6.0 lub nowszej oraz zmianę zakodowanego na stałe klucza API na losowy, bezpieczny sekret. Należy również skonfigurować serwer tak, aby odrzucał żądania z nieoczekiwanym nagłówkiem Host.
Inne podatności w pH7Builder
Zobacz wszystkie- CVE-2026-107637Średnie
pH7Builder (pH7 Social Dating CMS) przed wersją 18.5.0 zawiera podatność nieprawidłowej autoryzacji w module notatek (funkcja delete()), która pozwala uwierzytelnionym członkom na usuwanie komentarzy i kategorii notatek innych członków. Atakujący mogą przesłać ID notatki innego członka w parametrze POST id, aby usunąć wszystkie komentarze i powiązania kategorii, ponieważ zapytania nie sprawdzają ID profilu.
- CVE-2026-108904Średnie
pH7Builder (pH7 Social Dating CMS) przed wersją 18.5.0 zawiera podatność ujawnienia informacji, która pozwala klientom API uzyskać wrażliwe dane członków, ponieważ UserController::users() i user() zwracają niefiltrowane wiersze bazy danych. Atakujący posiadający ważny prywatny klucz API mogą odczytać hashe haseł bcrypt, niegasnące tokeny resetowania hashValidation oraz sekrety TOTP, aby przejąć konta i obejść uwierzytelnianie dwuskładnikowe.
- CVE-2026-108903Średnie
pH7Builder (pH7 Social Dating CMS) w wersji przed 19.3.0 zawiera podatność obejścia CAPTCHA, która pozwala nieuwierzytelnionym atakującym pominąć walidację formularza poprzez podanie wybranego przez klienta identyfikatora formularza do PFBC Form::isValid(). Atakujący mogą załadować formularz bez CAPTCHA, taki jak logowanie lub wyszukiwanie, a następnie przesłać jego identyfikator wraz z danymi kontaktowymi, komentarzem, forum, zaproszeniem lub rejestracją, aby zautomatyzować nadużycia.
- CVE-2026-108902Wysokie
pH7Builder (pH7 Social Dating CMS) przed wersją 18.5.0 zawiera podatność polegającą na przechodzeniu przez katalogi w akcji deletePhoto() modułu picture, która pozwala uwierzytelnionym członkom na usuwanie dowolnych plików. Atakujący mogą dostarczyć sekwencje ../ w parametrze POST picture_link, aby usunąć zdjęcia innych członków lub pliki konfiguracyjne i cache, powodując utratę treści i odmowę usługi.
- CVE-2026-107638Średnie
pH7Builder (pH7 Social Dating CMS) przed wersją 18.5.0 zawiera podatność polegającą na nieprawidłowym ograniczeniu prób uwierzytelnienia, co pozwala atakującym na ominięcie dwuskładnikowego uwierzytelnienia poprzez zgadywanie kodów TOTP bez limitów. Atakujący znający hasło konta mogą wysyłać nieograniczoną liczbę 6-cyfrowych kodów weryfikacyjnych do pliku VerificationCodeFormProcess.php i przejąć konta członków, partnerów lub administratorów.
- CVE-2026-107636Średnie
pH7Builder (pH7 Social Dating CMS) przed wersją 18.5.1 zawiera podatność walidacji płatności, która pozwala zarejestrowanym użytkownikom o niskich uprawnieniach na uzyskanie dowolnego poziomu członkostwa poprzez podanie kontrolowanych przez klienta pól planu i kwoty. Atakujący mogą ustawić item_number, cart_order_id lub pole custom w PayPal, płacąc symboliczną kwotę, lub wysyłać nieukończone płatności IPN, aby uzyskać najdroższe członkostwo i jego płatne funkcje.
- CVE-2026-37604Średnie
pH7Software pH7Builder (pH7 Social Dating CMS) do wersji 18.2.0 ustala adres IP klienta w _protected/framework/Ip/Ip.class.php na podstawie nagłówków HTTP_CLIENT_IP i HTTP_X_FORWARDED_FOR bez weryfikacji, czy żądanie pochodzi z zaufanego proxy. Ponieważ licznik prób logowania administratora i blokada są oparte na tej wartości, zdalny nieuwierzytelniony atakujący omija ograniczenia IP, wysyłając inną wartość X-Forwarded-For przy każdym żądaniu.
- CVE-2026-37603Średnie
Nieprawidłowe ograniczenie nadmiernych prób uwierzytelniania w logowaniu administracyjnym pH7Software pH7Builder (pH7 Social Dating CMS) do wersji 19.2.0. Flaga eskalacji CAPTCHA jest przechowywana w sesji PHP jako captcha_admin_enabled, a element formularza CAPTCHA jest tworzony tylko wtedy, gdy flaga jest obecna, więc zdalny nieuwierzytelniony atakujący, który uzyska nową sesję przed każdą próbą logowania, nigdy nie otrzymuje wyzwania.
Oryginalny opis (angielski, źródło NVD)
pH7Builder (pH7 Social Dating CMS) before 18.6.0 contains a hard-coded API key vulnerability in Tool.class.php that allows unauthenticated attackers to bypass API access checks by spoofing the Host header. Attackers can send Host: localhost with private_api_key=dev772277 and the default allowed URL to retrieve member emails, IP addresses, phone numbers, and bank account fields.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS