CVE-2026-108902
Beschrijving NL
pH7Builder (pH7 Social Dating CMS) vóór 18.5.0 bevat een kwetsbaar pad in de fotomodule deletePhoto() actie waarmee geverifieerde leden willekeurige bestanden kunnen verwijderen. Aanvallers kunnen../ sequenties leveren in de POST picture_link parameter om de foto's of configuratie- en cachebestanden van andere leden te verwijderen, wat inhoudsverlies en denial of service veroorzaakt.
Origineel (Engels) tonen
pH7Builder (pH7 Social Dating CMS) before 18.5.0 contains a path traversal vulnerability in the picture module deletePhoto() action that allows authenticated members to delete arbitrary files. Attackers can supply ../ sequences in the POST picture_link parameter to remove other members' photos or configuration and cache files, causing content loss and denial of service.