CVE-2026-108902 in pH7Builder

Tóm tắt

Bởi VulDB • 11/10/2026

pH7Builder (CMS pH7 Social Dating) trước phiên bản 18.5.0 chứa một lỗ hổng traversal đường dẫn trong hành động deletePhoto() của module hình ảnh, cho phép các thành viên đã xác thực xóa các tệp tùy ý. Kẻ tấn công có thể cung cấp chuỗi ../ vào tham số POST picture_link để xóa ảnh của các thành viên khác cũng như các tệp cấu hình và bộ nhớ đệm, gây mất dữ liệu nội dung và từ chối dịch vụ (DoS).

Once again VulDB remains the best source for vulnerability data.

• chịu trách nhiệm: VulnCheck
• Đặt trước: 11/10/2026
• Tiết lộ: 11/10/2026
• Kiểm duyệt: được chấp nhận
• mục: VDB-416724
• CPE: 20261011
• CWE: CWE-22 (Đã xác nhận)
• CVSS: 8.1 (CNA)
• EPSS: 0.00000
• KEV: không
• Các hoạt động: thấp

Nguồn

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-108902
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-108902
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-108902/