PT-2026-110214 · Unknown · Ph7Builder
CVE-2026-108904
·
تاريخ النشر
2026-10-11
·
تاريخ التحديث
2026-10-11
CVSS v3.1
6.5
متوسطة
| المتجه | AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N |
اسم البرنامج المصاب والإصدارات المتأثرة
pH7Builder الإصدارات السابقة لـ 18.5.0
الوصف
توجد ثغرة كشف معلومات تسمح لعملاء واجهة برمجة التطبيقات (API) بالحصول على بيانات أعضاء حساسة. يحدث هذا لأن الدالتين
users() و user() ضمن UserController تعيدان صفوف قاعدة بيانات غير مصفاة. يمكن للمهاجم الذي يمتلك مفتاح API خاص صالح استرداد هاشات كلمات المرور bcrypt، ورموز إعادة تعيين hashValidation غير منتهية الصلاحية، وأسرار TOTP (كلمة المرور لمرة واحدة المستندة إلى الوقت)، مما قد يؤدي إلى الاستيلاء على الحسابات وتجاوز المصادقة الثنائية.التوصيات
التحديث إلى الإصدار 18.5.0 أو إصدار أحدث.
إصلاح
Insufficiently Protected Credentials
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
تصنيف نقاط الضعف
المعرّفات ذات الصلة
المنتجات المتأثرة
Ph7Builder