CVE-2026-37603
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 31 - wyżej niż 31% wszystkich znanych CVE
Streszczenie
Nieprawidłowe ograniczenie nadmiernych prób uwierzytelniania w logowaniu administracyjnym pH7Software pH7Builder (pH7 Social Dating CMS) do wersji 19.2.0. Flaga eskalacji CAPTCHA jest przechowywana w sesji PHP jako captcha_admin_enabled, a element formularza CAPTCHA jest tworzony tylko wtedy, gdy flaga jest obecna, więc zdalny nieuwierzytelniony atakujący, który uzyska nową sesję przed każdą próbą logowania, nigdy nie otrzymuje wyzwania.
Ocena ryzyka
Atakujący może obejść mechanizm CAPTCHA, co umożliwia przeprowadzenie ataku brute force na konto administratora. Może to prowadzić do przejęcia konta administracyjnego.
Rekomendacja
Zaktualizuj pH7Builder do wersji nowszej niż 19.2.0 po udostępnieniu poprawki. Do tego czasu rozważ wdrożenie dodatkowych mechanizmów ograniczania prób logowania niezależnych od sesji.
Inne podatności w pH7Builder
Zobacz wszystkie- CVE-2026-107637Średnie
pH7Builder (pH7 Social Dating CMS) przed wersją 18.5.0 zawiera podatność nieprawidłowej autoryzacji w module notatek (funkcja delete()), która pozwala uwierzytelnionym członkom na usuwanie komentarzy i kategorii notatek innych członków. Atakujący mogą przesłać ID notatki innego członka w parametrze POST id, aby usunąć wszystkie komentarze i powiązania kategorii, ponieważ zapytania nie sprawdzają ID profilu.
- CVE-2026-108905Wysokie
pH7Builder (pH7 Social Dating CMS) przed wersją 18.6.0 zawiera podatność związaną z zakodowanym na stałe kluczem API w pliku Tool.class.php, która pozwala nieuwierzytelnionym atakującym na obejście kontroli dostępu do API przez sfałszowanie nagłówka Host. Atakujący mogą wysłać Host: localhost z private_api_key=dev772277 i domyślnym dozwolonym URL, aby uzyskać adresy e-mail członków, adresy IP, numery telefonów i pola kont bankowych.
- CVE-2026-108904Średnie
pH7Builder (pH7 Social Dating CMS) przed wersją 18.5.0 zawiera podatność ujawnienia informacji, która pozwala klientom API uzyskać wrażliwe dane członków, ponieważ UserController::users() i user() zwracają niefiltrowane wiersze bazy danych. Atakujący posiadający ważny prywatny klucz API mogą odczytać hashe haseł bcrypt, niegasnące tokeny resetowania hashValidation oraz sekrety TOTP, aby przejąć konta i obejść uwierzytelnianie dwuskładnikowe.
- CVE-2026-108903Średnie
pH7Builder (pH7 Social Dating CMS) w wersji przed 19.3.0 zawiera podatność obejścia CAPTCHA, która pozwala nieuwierzytelnionym atakującym pominąć walidację formularza poprzez podanie wybranego przez klienta identyfikatora formularza do PFBC Form::isValid(). Atakujący mogą załadować formularz bez CAPTCHA, taki jak logowanie lub wyszukiwanie, a następnie przesłać jego identyfikator wraz z danymi kontaktowymi, komentarzem, forum, zaproszeniem lub rejestracją, aby zautomatyzować nadużycia.
- CVE-2026-108902Wysokie
pH7Builder (pH7 Social Dating CMS) przed wersją 18.5.0 zawiera podatność polegającą na przechodzeniu przez katalogi w akcji deletePhoto() modułu picture, która pozwala uwierzytelnionym członkom na usuwanie dowolnych plików. Atakujący mogą dostarczyć sekwencje ../ w parametrze POST picture_link, aby usunąć zdjęcia innych członków lub pliki konfiguracyjne i cache, powodując utratę treści i odmowę usługi.
- CVE-2026-107638Średnie
pH7Builder (pH7 Social Dating CMS) przed wersją 18.5.0 zawiera podatność polegającą na nieprawidłowym ograniczeniu prób uwierzytelnienia, co pozwala atakującym na ominięcie dwuskładnikowego uwierzytelnienia poprzez zgadywanie kodów TOTP bez limitów. Atakujący znający hasło konta mogą wysyłać nieograniczoną liczbę 6-cyfrowych kodów weryfikacyjnych do pliku VerificationCodeFormProcess.php i przejąć konta członków, partnerów lub administratorów.
- CVE-2026-107636Średnie
pH7Builder (pH7 Social Dating CMS) przed wersją 18.5.1 zawiera podatność walidacji płatności, która pozwala zarejestrowanym użytkownikom o niskich uprawnieniach na uzyskanie dowolnego poziomu członkostwa poprzez podanie kontrolowanych przez klienta pól planu i kwoty. Atakujący mogą ustawić item_number, cart_order_id lub pole custom w PayPal, płacąc symboliczną kwotę, lub wysyłać nieukończone płatności IPN, aby uzyskać najdroższe członkostwo i jego płatne funkcje.
- CVE-2026-37604Średnie
pH7Software pH7Builder (pH7 Social Dating CMS) do wersji 18.2.0 ustala adres IP klienta w _protected/framework/Ip/Ip.class.php na podstawie nagłówków HTTP_CLIENT_IP i HTTP_X_FORWARDED_FOR bez weryfikacji, czy żądanie pochodzi z zaufanego proxy. Ponieważ licznik prób logowania administratora i blokada są oparte na tej wartości, zdalny nieuwierzytelniony atakujący omija ograniczenia IP, wysyłając inną wartość X-Forwarded-For przy każdym żądaniu.
Oryginalny opis (angielski, źródło NVD)
Improper Restriction of Excessive Authentication Attempts in the administration login of pH7Software pH7Builder (pH7 Social Dating CMS) through 19.2.0. The CAPTCHA escalation flag is stored in the PHP session as captcha_admin_enabled and the CAPTCHA form element is only built when that flag is present, so a remote unauthenticated attacker who obtains a new session before each login attempt is never presented with the challenge.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS