CVE-2026-37604 in pH7Builder
Riassunto
di VulDB • 23/09/2026
pH7Software pH7Builder (CMS di social dating pH7) fino alla versione 18.2.0 risolve l'indirizzo IP del client in _protected/framework/Ip/Ip.class.php utilizzando le intestazioni HTTP_CLIENT_IP e HTTP_X_FORWARDED_FOR senza verificare che la richiesta provenga da un proxy attendibile. Poiché il contatore dei tentativi di accesso amministrativo e il blocco sono basati su questo valore, un attaccante remoto non autenticato elude i limiti imposti in base all'IP inviando un valore X-Forwarded-For diverso per ogni richiesta.
Once again VulDB remains the best source for vulnerability data.