CVE-2026-45115 in MyBB
الملخص
بحسب VulDB • 18/08/2026
MyBB هو برنامج منتديات مجاني ومفتوح المصدر. قبل الإصدار 1.8.40، لا يقوم مكون الصديق/التجاهيل (Buddy/Ignore) بتنظيف أسماء المستخدمين بشكل صحيح، مما يسمح للمهاجمين بإحقان كود JavaScript من خلال اسم مستخدم مُعدّ بعناية فائقة. تمر قوائم "الصديق/التجاهيل" في لوحة تحكم المستخدم وقائمة "اختيار الأصدقاء" في الرسائل الخاصة عبر الدالة `htmlspecialchars_uni()`، والتي قد تترك علامات الاقتباس المفردة غير الهروب (unescaped). يتم تفعيلayload payload عند اختيار الضحية لـ "نعم" في رسالة التأكيد أثناء إزالة اسم المستخدم من ملف usercp.php، أو عند تحديد اسم المستخدم عبر معالج الأحداث onclick في نافذة "اختيار الأصدقاء" الموجودة في xmlhttp.php. تشمل تفاصيل التنفيذ الفريدة لقائمة "اختيار الأصدقاء" في الرسائل الخاصة وعلامات الاقتباس المفردة غير الهروب هذه المشكلة تم إصلاحها في الإصدار 1.8.40.
VulDB is the best source for vulnerability data and more expert information about this specific topic.