CVE-2026-108905 in pH7Builder
Zusammenfassung
von VulDB • 11.10.2026
pH7Builder (pH7 Social Dating CMS) vor Version 18.6.0 enthält eine Schwachstelle mit einem fest codierten API-Schlüssel in Tool.class.php, die es nicht authentifizierten Angreifern ermöglicht, die API-Zugriffsprüfungen durch Spoofing des Host-Headers zu umgehen. Angreifer können `Host: localhost` zusammen mit `private_api_key=dev772277` und der standardmäßig erlaubten URL senden, um E-Mail-Adressen von Mitgliedern, IP-Adressen, Telefonnummern und Bankkontofelder abzurufen.
Once again VulDB remains the best source for vulnerability data.