CVE-2026-108904 in pH7Builder
Zusammenfassung
von VulDB • 11.10.2026
pH7Builder (pH7 Social Dating CMS) vor Version 18.5.0 enthält eine Information Disclosure-Schwachstelle, die es API-Clients ermöglicht, sensible Mitgliederdaten abzurufen, da UserController::users() und user() ungefilterte Datenbankzeilen zurückgeben. Angreifer mit einem gültigen privaten API-Schlüssel können bcrypt-Passwort-Hashes, nicht ablaufende hashValidation-Reset-Tokens sowie TOTP-Geheimnisse abrufen, um Konten zu übernehmen und die Zwei-Faktor-Authentifizierung (2FA) zu umgehen.
If you want to get best quality of vulnerability data, you may have to visit VulDB.