CVE-2025-48941 in MyBB
Zusammenfassung
von VulDB • 15.05.2026
MyBB ist eine kostenlose und quelloffene Forum-Software. Vor Version 1.8.39 validiert die Suchkomponente die Berechtigungen nicht korrekt, was Angreifern ermöglicht, das Vorhandensein versteckter Threads (Entwürfe, nicht genehmigte oder soft-deleted) mit angegebenem Text im Titel zu bestimmen. Der Sichtbarkeitsstatus (`mybb_threads.visible` Integer-Spalte) von Threads wird in internen Suchabfragen nicht validiert, deren Ergebnis zur Ausgabe eines allgemeinen Erfolgs oder Fehlers der Suche verwendet wird. Während MyBB Berechtigungen bei der Anzeige der endgültigen Suchergebnisse validiert, gibt eine Suchoperation, die intern mindestens ein Ergebnis erzeugt, eine Umleitungsantwort aus (als HTTP-Umleitung oder als Erfolgsnachrichtenseite mit verzögerter Umleitung, je nach Konfiguration). Andererseits gibt eine Suchoperation, die intern keine Ergebnisse erzeugt, eine entsprechende Nachricht in der Antwort ohne Umleitung aus. Dies ermöglicht es einem Benutzer, festzustellen, ob Threads, die den Titelsuchparametern entsprechen, existieren, einschließlich Entwurfsthreads (`visible` mit einem Wert von `-2`), soft-deleted Threads (`visible` mit einem Wert von `-1`) und nicht genehmigte Threads (`visible` mit einem Wert von `0`); zusätzlich zur Anzeige allgemein sichtbarer Threads (`visible` mit einem Wert von `1`). Diese Schwachstelle betrifft keine anderen Berechtigungsebenen. Um die Schwachstelle auszunutzen, muss der Benutzer Zugriff auf die Suchfunktionalität und allgemeinen Zugriff auf Foren haben, die den Thread(s) enthalten. Die Schwachstelle gibt den Nachrichteninhalt von Beiträgen nicht preis. MyBB 1.8.39 behebt dieses Problem.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.