pH7Builder 18.5.0 öncesi sürümde yetkili kullanıcıların dosya silme yetkisi kazanabileceği yol geçişi açığı
Yapay zeka üretimi17.10.2026
- CVE
- CVE-2026-108902
- Ciddiyet
- Yüksek (CVSS 8.1)
- Firma / ürün
- - / -
Özet
NVD kaydına göre, pH7Builder 18.5.0 öncesi sürümdeki picture modülündeki deletePhoto() işlevi, yetkili üyelerin ../ dizin geçişi ekleyerek rastgele dosyaları silmesine olanak tanıyor.
Ayrıntılar
NVD kaydına göre, pH7Builder (pH7 Social Dating CMS) 18.5.0 öncesi sürümünde picture modülündeki deletePhoto() eylemi bir yol geçişi (path traversal) açığı barındırıyor. Yetkilendirilmiş üyeler, POST isteğindeki picture_link parametresine "../" dizileri ekleyerek diğer üyelerin fotoğraflarını, konfigürasyon dosyalarını ya da önbellek dosyalarını silebilir. Bu durum içerik kaybına ve hizmet dışı bırakma (DoS) riskine yol açar. Açığın ciddiyeti CVSS 8.1 puanıyla yüksek olarak sınıflandırılmıştır.
Önerilen adımlar
Üreticinin güvenlik duyurularını yakından takip edin, güncelleme yayımlandığında derhal uygulayın ve sisteme erişimi mümkün olduğunca sınırlı tutun.