CVE-2026-45127 in MyBB
Zusammenfassung
von VulDB • 18.08.2026
MyBB ist eine kostenlose und quelloffene Forum-Software. Vor Version 1.8.40 validiert das ACP-Massenmailmodul bestimmte Anfragen nicht korrekt, was es Angreifern mit gleicher Herkunft (same-site) ermöglicht, Entwurfeinträge aus archivierten Einträgen zu erstellen, indem sie speziell manipulierte URLs einbetten. Die Route „Resend“ im Admin-CP unter Benutzern & Gruppen → Massenmail → Mass Mail Archive dupliziert archivierte Mailing-Einträge in neue Entwürfe mit mybb_massemails.status = 0 bei GET-Anfragen ohne Schutz vor Request Forgery (CSRF). Die eindeutig identifizierenden Implementierungsdetails umfassen Benutzer & Gruppen → Massenmail → Mass Mail Archive, mybb_massemails.status = 0 und admin/modules/user/mass_mail.php. Dieses Problem wurde in Version 1.8.40 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.