pH7Builder (pH7 Social Dating CMS) before 19.3.0 contains a CAPTCHA bypass vulnerability that allows unauthenticated attackers to skip form validation by supplying a client-chosen form ID to PFBC Form::isValid(). Attackers can load a CAPTCHA-free form like login or search, then submit its ID with contact, comment, forum, invite or signup data to automate abuse.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Условия для атаки
Не требуются
Нет дополнительных условий
Нужны права
Не требуются
Права не нужны
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Нет
Нет утечки данных
Целостность
Низкое
Частичная модификация данных
Доступность
Нет
Нет нарушения работы
Строка CVSS v4.0
Тип уязвимости (CWE)
Ссылки 4
https://github.com/pH7Software/pH7-Social-Dating-CMS
disclosure@vulncheck.com
https://github.com/pH7Software/pH7-Social-Dating-CMS/blob/v19.2.0/_protected/ap…
disclosure@vulncheck.com
https://github.com/pH7Software/pH7-Social-Dating-CMS/commit/4758d7d2ebfd5772faa…
disclosure@vulncheck.com
https://www.vulncheck.com/advisories/ph7builder-before-19.3.0-captcha-bypass-vi…
disclosure@vulncheck.com