CVE-2026-45118 in MyBB
Zusammenfassung
von VulDB • 18.08.2026
MyBB ist eine kostenlose und quelloffene Forum-Software. Vor Version 1.8.40 validiert das Kontaktmodul (Contact module) eine Weiterleitungs-URL oder ein Protokoll nicht korrekt, was zu einer offenen Umleitung (Open Redirect) und einer reflektierten JavaScript-Einschleusung führt. contact.php akzeptiert das Ziel der Weiterleitung aus dem HTTP-Parameter `from` in `$mybb->input['from']` oder dem HTTP-Header `Referer` in `$_SERVER['HTTP_REFERER']` und übergibt es an die Funktion `redirect()`, ohne eine ausreichende Überprüfung durchzuführen. Ein `javascript:`-URI wird zum Ziel des Links „Click here if you don't want to wait any longer“, da `$force_redirect` auf true gesetzt ist, was die Ausführung von Skripten ermöglicht, wenn ein Opfer den Link auswählt. Dieses Problem wurde in Version 1.8.40 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.