Saltar al contenido
DUPIN
ALERTAS · EN VIVO
Contacto

VULNERABILIDAD

CVE-2026-108904 Exposición de información sensible en la API de miembros de pH7Builder

pH7Builder (pH7 Social Dating CMS) anterior a 18.5.0 contiene una vulnerabilidad de exposición de información que permite a clientes de la API obtener datos sensibles de miembros porque UserController::users() y user() devuelven filas de base de datos sin filtrar. Con una clave API privada válida se pueden obtener hashes bcrypt de contraseñas, tokens de restablecimiento hashValidation sin expiración y secretos TOTP para tomar cuentas y eludir la autenticación de dos factores.

Alerta de Nureq Monitor

Detectada 11 OCT · 14:44

CVSS 3.1

6.5MEDIA

CVSS 4.0

7.1 ALTA

PROBABILIDAD DE EXPLOTACIÓN (EPSS)

0,3 % PERCENTIL 23

EXPLOTACIÓN ACTIVA

No confirmada

EXPLOIT PÚBLICO

No conocido

Qué es CVE-2026-108904

pH7Builder (pH7 Social Dating CMS) anterior a 18.5.0 contiene una vulnerabilidad de exposición de información que permite a clientes de la API obtener datos sensibles de miembros porque UserController::users() y user() devuelven filas de base de datos sin filtrar. Con una clave API privada válida se pueden obtener hashes bcrypt de contraseñas, tokens de restablecimiento hashValidation sin expiración y secretos TOTP para tomar cuentas y eludir la autenticación de dos factores.

Productos y versiones afectadas

  • ph7software ph7builder

    • hasta antes de 18.5.0

Qué hacer

  1. Verificá si usás ph7builder y en qué versión: el rango afectado figura arriba.
  2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
  3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 6.5 MEDIA

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

VECTOR DE ATAQUE (AV)
Red
COMPLEJIDAD DEL ATAQUE (AC)
Baja
PRIVILEGIOS REQUERIDOS (PR)
Bajos
INTERACCIÓN DEL USUARIO (UI)
Ninguna
ALCANCE (S)
Sin cambio
CONFIDENCIALIDAD (C)
Alta
INTEGRIDAD (I)
Ninguna
DISPONIBILIDAD (A)
Ninguna

CVSS 4.0 · 7.1 ALTA

CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N

VECTOR DE ATAQUE (AV)
Red
COMPLEJIDAD DEL ATAQUE (AC)
Baja
REQUISITOS DEL ATAQUE (AT)
Ninguno
PRIVILEGIOS REQUERIDOS (PR)
Bajos
INTERACCIÓN DEL USUARIO (UI)
Ninguna
CONFIDENCIALIDAD (SISTEMA VULNERABLE) (VC)
Alta
INTEGRIDAD (SISTEMA VULNERABLE) (VI)
Ninguna
DISPONIBILIDAD (SISTEMA VULNERABLE) (VA)
Ninguna
CONFIDENCIALIDAD (SISTEMAS POSTERIORES) (SC)
Ninguna
INTEGRIDAD (SISTEMAS POSTERIORES) (SI)
Ninguna
DISPONIBILIDAD (SISTEMAS POSTERIORES) (SA)
Ninguna

Abrir la calculadora completa

Descripción original

pH7Builder (pH7 Social Dating CMS) before 18.5.0 contains an information disclosure vulnerability that allows API clients to obtain sensitive member data because UserController::users() and user() return unfiltered database rows. Attackers holding a valid private API key can retrieve bcrypt password hashes, non-expiring hashValidation reset tokens, and TOTP secrets to take over accounts and bypass two-factor authentication.

Referencias

Historial de la alerta

  1. VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.