CVE-2026-37604 in pH7Builder
Сводка
по VulDB • 22.09.2026
pH7Software pH7Builder (CMS di social dating pH7) fino alla versione 18.2.0 risolve l'indirizzo IP del client nei campi _protected/framework/Ip/Ip.class.php utilizzando le intestazioni HTTP_CLIENT_IP e HTTP_X_FORWARDED_FOR senza verificare che la richiesta provenga da un proxy attendibile. Poiché il contatore dei tentativi di accesso amministrativo e il blocco sono basati su questo valore, un attaccante remoto non autenticato elude i limiti imposti in base all'IP inviando un valore X-Forwarded-For diverso per ogni richiesta.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.