CVE-2026-37604 in pH7Builder
Resumen
por VulDB • 2026-09-23
pH7Software pH7Builder (CMS di social dating pH7) fino alla versione 18.2.0 risolve l'indirizzo IP del client in _protected/framework/Ip/Ip.class.php utilizzando le intestazioni HTTP_CLIENT_IP e HTTP_X_FORWARDED_FOR senza verificare che la richiesta provenga da un proxy attendibile. Poiché il contatore dei tentativi di accesso dell'amministratore e il blocco sono basati su questo valore, un attaccante remoto non autenticato elude i limiti imposti in base all'IP inviando un valore X-Forwarded-For diverso per ogni richiesta.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.