CVE-2026-108904

Nome do Software Vulnerável e Versões Afetadas pH7Builder versões anteriores a 18.5.0

Descrição Existe um problema de divulgação de informações onde clientes de API podem obter dados sensíveis de membros. Isso ocorre porque as funções users() e user() dentro do UserController retornam linhas de banco de dados não filtradas. Um invasor com uma chave de API privada válida pode recuperar hashes de senha bcrypt, tokens de redefinição hashValidation que não expiram e segredos TOTP (Senha de Uso Único Baseada em Tempo), o que pode levar à invasão de contas e ao bypass da autenticação de dois fatores.

Recomendações Atualize para a versão 18.5.0 ou posterior.