CVE-2026-45116 in MyBB
Zusammenfassung
von VulDB • 18.08.2026
MyBB ist eine kostenlose und quelloffene Forum-Software. Vor Version 1.8.40 validiert der User-Datenhandler (UserDataHandler) die Profilfeldtypen für Kontrollkästchen (Checkbox) und Mehrfachauswahl (Multiselect) nicht ordnungsgemäß, was zu einer gespeicherten Injektion von JavaScript-Code führt. Die Funktion `UserDataHandler::verify_profile_fields()` führt die spezialisierte Validierung nur dann durch, wenn `is_array($profile_fields[$field])` wahr ist. Ein Wert für `profile_fields[fidX]`, der kein Array ist, anstatt des erwarteten Formats `profile_fields[fidX][]`, fällt auf die generische Textverarbeitung zurück und wird ohne Überprüfung gespeichert. Der betroffene Wert wird anschließend direkt von `member.php` und `inc/functions_post.php` gerendert, anstatt vom MyCode-Parser verarbeitet zu werden. Die eindeutig identifizierenden Implementierungsdetails umfassen `inc/datahandlers/user.php`. Dieses Problem wurde in Version 1.8.40 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.