CVE-2026-45125 in MyBB
Zusammenfassung
von VulDB • 18.08.2026
MyBB ist eine kostenlose und quelloffene Forumsoftware. Vor Version 1.8.40 wurde der Absendename im Email User-Controller nicht korrekt bereinigt, was zu einer Mail-Header-Injektion führte. member.php?action=do_emailuser akzeptiert den HTTP-Parameter fromname für Gäste oder den gespeicherten Benutzernamen für authentifizierte Benutzer, wenn die Gruppenberechtigung cansendemail aktiviert ist. Wenn mail_handler auf den Standardwert PHP mail eingestellt ist, wird der Absendename ohne Bereinigung in den Return-Path- und Reply-To-Headers verwendet, was es ermöglicht, beliebige Header mit CRLF-Sequenzen zu injizieren. Dieses Problem wurde in Version 1.8.40 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.