CVE-2026-107638
Vulnérabilité élevée dans ph7builder (ph7software)
CVSS 7.6 · Élevée
EPSS 0.4%
ph7software•ph7builder•Versions : <18.5.0, 0, 18.5.0
Description
pH7Builder (pH7 Social Dating CMS) before 18.5.0 contains an improper restriction of authentication attempts vulnerability that allows attackers to bypass two-factor authentication by guessing TOTP codes without limits. Attackers who know an account password can submit unlimited 6-digit verification codes to VerificationCodeFormProcess.php to take over member, affiliate, or administrator accounts.
Gravité et risque d'exploitation
CVE-2026-107638 obtient un score CVSS de 7.6/10, soit une gravité élevée. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.36 %, ce qui la place devant 28.8 % des CVE référencées.
Que faire ?
- Vérifiez si ph7builder (versions <18.5.0, 0, 18.5.0) est présent sur votre parc.
- Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
- À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
- Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.
Références
- https://github.com/pH7Software/pH7-Social-Dating-CMS/commit/44970860b82f8af867de9d2832081485f5dbe578
- https://github.com/pH7Software/pH7-Social-Dating-CMS/blob/v18.4.1/_protected/app/system/modules/two-factor-auth/forms/processing/VerificationCodeFormProcess.php#L34-L60
- https://github.com/pH7Software/pH7-Social-Dating-CMS
- https://www.vulncheck.com/advisories/ph7builder-before-18.5.0-2fa-brute-force-via-verificationcodeformprocess-php