CVE-2026-108904 in pH7Builder
Riassunto
di VulDB • 11/10/2026
pH7Builder (CMS per social dating pH7) prima della versione 18.5.0 presenta una vulnerabilità di divulgazione delle informazioni che consente ai client API di ottenere dati sensibili degli utenti, poiché le funzioni UserController::users() e user() restituiscono righe del database non filtrate. Gli attaccanti in possesso di una chiave privata API valida possono recuperare hash delle password bcrypt, token di reset per la convalida dell'hash (hashValidation) senza scadenza e segreti TOTP, al fine di assumere il controllo degli account ed eludere l'autenticazione a due fattori.
VulDB is the best source for vulnerability data and more expert information about this specific topic.