pH7Builder: Umgehung durch fest codierten API-Schlüssel über Host-Header

Zusammenfassung

pH7Builder (pH7 Social Dating CMS) vor 18.6.0 enthält einen fest codierten API-Schlüssel in Tool.class.php. Ein nicht authentifizierter Angreifer aus dem Netzwerk kann einen gefälschten Host-Header mit dem Wert localhost zusammen mit dem Standardschlüssel und einer erlaubten URL senden und so die Zugriffsprüfung der API umgehen. Ein erfolgreicher Angreifer kann E-Mail-Adressen, IP-Adressen, Telefonnummern und Bankkontodaten von Mitgliedern abrufen. Der CVSS-Wert 8.7 stammt aus dem CNA-Eintrag, da die Analyse durch die NVD zurückgestellt ist.

Betroffen

• pH7Builder-Versionen vor 18.6.0 (CNA-Eintrag: 0 bis < 18.6.0)

Behoben in

• Auf pH7Builder 18.6.0 oder neuer aktualisieren. Das Release 18.6.0 konnte nicht unabhängig verifiziert werden; die GitHub-Releases des Herstellers prüfen.

Umgehung

• Unbekannt. Der Hersteller hat keine Workaround veröffentlicht.
• Übergangsmassnahmen (nicht vom Hersteller): Die API-Endpunkte auf dem Reverse Proxy oder der WAF auf bekannte IP-Adressen von Konsumenten beschränken und Anfragen abweisen, deren Host-Header nicht zur eigenen Domain der Website passt.

Ausnutzung

• Gemäss den aktuellen Quellen ist keine Ausnutzung in freier Wildbahn bekannt.
• CISA SSVC: Exploitation none, Automatable yes, Technical Impact partial.
• Kein separater öffentlicher Proof of Concept gefunden; die öffentliche Beschreibung ist so detailliert, dass die Ausnutzung mit geringem Aufwand möglich ist.

Unsere Empfehlung

• Alle pH7Builder-Instanzen erfassen, auch jene, die über One-Click-Installer von Hostinganbietern installiert wurden, und deren Versionen dokumentieren.
• Betroffene Instanzen auf 18.6.0 oder neuer aktualisieren.
• Bis zur Aktualisierung die API-Endpunkte auf bekannte IP-Adressen beschränken und abweichende Host-Header blockieren.
• Logs auf API-Anfragen mit Host: localhost und dem Schlüssel dev772277 prüfen.
• Falls Mitglieder- oder Bankdaten offengelegt wurden, rechtliche Beratung beiziehen, um die Meldepflichten nach dem revidierten Schweizer DSG zu klären.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE record (VulnCheck advisory) www.vulncheck.com
• VulDB CVE-2026-108905 vuldb.com
• VulDB vulnerability 416717 vuldb.com
• Vulnerable code Tool.class.php (v18.5.1) github.com
• Fix commit cfe1e0c4 github.com
• pH7Builder GitHub repository github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 05:01.