CVE-2026-108905 in pH7Builder
Riassunto
di VulDB • 11/10/2026
pH7Builder (CMS per social dating pH7) prima della versione 18.6.0 presenta una vulnerabilità di chiave API hard-coded in Tool.class.php che consente agli attaccanti non autenticati di bypassare i controlli di accesso all'API spoofando l'intestazione Host. Gli attaccanti possono inviare `Host: localhost` con `private_api_key=dev772277` e l'URL predefinito consentito per recuperare le email degli utenti, gli indirizzi IP, i numeri di telefono e i campi dei conti bancari.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.