CVE-2026-108109 · CVSS 9.1 · PHPNuxBill through 2025.3.20 contains an account takeover vulnerability in the customer password reset flow in …

NVD (CVSS crítico) · 9 oct, 17:17

PHPNuxBill hasta versión 2025.3.20 contiene una vulnerabilidad de toma de control de cuentas en el flujo de restablecimiento de contraseña. Un atacante sin autenticación puede fuerza bruta el código OTP de 6 dígitos sin límites de intentos ni bloqueo y leer la nueva contraseña en la respuesta HTTP para secuestrar la cuenta.