CVE-2026-108905
Yüksek
Açıklama
18.6.0 öncesindeki pH7Builder (pH7 Social Dating CMS), Tool.class.php dosyasında kimlik doğrulaması yapmamış saldırganların Host başlığını taklit ederek API erişim kontrollerini atlamasına olanak tanıyan sabit kodlanmış bir API anahtarı zafiyeti içermektedir. Saldırganlar; üye e-postalarını, IP adreslerini, telefon numaralarını ve banka hesap alanlarını elde etmek için private_api_key=dev772277 ile birlikte Host: localhost ve varsayılan izin verilen URL'yi gönderebilirler.
ÖnemYüksek
CVSS7.5
İstismar olasılığı—
ÜrünPh7software Ph7builder
Yayın11 Eki 2026
İlk görülme11 Eki 2026
Zayıflık türüCWE-798Koda gömülü kimlik bilgisi
Nasıl düzeltilir
Güncelleyin
- ph7software ph7builder18.6.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| ph7software ph7builder | v < 18.6.0 | 18.6.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Intelligence 360 paketinde
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.