MyBB bis 1.6.14 video MyCode Cross Site Scripting

CVSS Meta Temp Score	Aktueller Exploitpreis (≈)	CTI Interest Score
4.1	$0-$5k	0.00

Zusammenfassunginfo

Eine als problematisch eingestufte Schwachstelle wurde in MyBB bis 1.6.14 festgestellt. Es geht um eine nicht näher bekannte Funktion der Komponente video MyCode. Mit der Manipulation mit unbekannten Daten kann eine Cross Site Scripting-Schwachstelle ausgenutzt werden. Eine eindeutige Identifikation der Schwachstelle wird mit CVE-2014-5248 vorgenommen. Der Angriff kann über das Netzwerk angegangen werden. Zusätzlich gibt es einen verfügbaren Exploit. Die Aktualisierung der betroffenen Komponente wird empfohlen.

Detailsinfo

Es wurde eine Schwachstelle in MyBB bis 1.6.14 (Content Management System) entdeckt. Sie wurde als problematisch eingestuft. Dabei betrifft es ein unbekannter Codeteil der Komponente video MyCode. Durch Manipulieren mit einer unbekannten Eingabe kann eine Cross Site Scripting-Schwachstelle ausgenutzt werden. Im Rahmen von CWE wurde eine Klassifizierung als CWE-79 vorgenommen. Auswirken tut sich dies auf die Integrität. Die Zusammenfassung von CVE lautet:

Cross-site scripting (XSS) vulnerability in MyBB before 1.6.15 allows remote attackers to inject arbitrary web script or HTML via vectors related to video MyCode.

Die Schwachstelle wurde am 04.08.2014 durch AntiPaste als MyBB 1.6.15 Released – Security & Maintenance Release in Form eines bestätigten Release Notess (Blog) publiziert. Das Advisory findet sich auf blog.mybb.com. Die Identifikation der Schwachstelle wird seit dem 14.08.2014 mit CVE-2014-5248 vorgenommen. Der Angriff kann über das Netzwerk erfolgen. Zur Ausnutzung ist keine spezifische Authentisierung erforderlich. Eine Ausnutzung erfordert, dass das Opfer eine spezifische Handlung durchführt. Es sind zwar keine technische Details, jedoch ein Exploit zur Schwachstelle bekannt. Diese Schwachstelle wird durch das MITRE ATT&CK als Angriffstechnik T1059.007 bezeichnet.

Er wird als hoch funktional gehandelt. Für den Vulnerability Scanner Nessus wurde am 09.03.2015 ein Plugin mit der ID 81699 (MyBB < 1.6.15 Video MyCode XSS) herausgegeben, womit die Existenz der Schwachstelle geprüft werden kann. Es wird der Family CGI abuses : XSS zugeordnet.

Ein Aktualisieren auf die Version 1.6.15 vermag dieses Problem zu lösen. Das Erscheinen einer Gegenmassnahme geschah sofort nach der Veröffentlichung der Schwachstelle. Die Entwickler haben nachweislich unmittelbar gehandelt. Das Advisory stellt fest:

This is the last maintenance release of the 1.6 series.

Unter anderem wird der Fehler auch in den Datenbanken von X-Force (95347), Tenable (81699), Secunia (SA59707†) und Vulnerability Center (SBV-49153†) dokumentiert. Be aware that VulDB is the high quality source for vulnerability data.

Produktinfo

Typ

• Content Management System

Name

• MyBB

Version

• 1.6.0
• 1.6.1
• 1.6.2
• 1.6.3
• 1.6.4
• 1.6.5
• 1.6.6
• 1.6.7
• 1.6.8
• 1.6.9
• 1.6.10
• 1.6.11
• 1.6.12
• 1.6.13
• 1.6.14

Lizenz

• Open-Source

Webseite

• Produkt: https://mybb.com/

CPE 2.3info

• 🔍
• 🔍
• 🔍

CPE 2.2info

• 🔍
• 🔍
• 🔍

CVSSv4info

VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv3info

VulDB Meta Base Score: 4.3
VulDB Meta Temp Score: 4.1

VulDB Base Score: 4.3
VulDB Temp Score: 4.1
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv2info

AV	AC	Au	C	I	A
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳

Vektor	Komplexität	Authentisierung	Vertraulichkeit	Integrität	Verfügbarkeit
freischalten	freischalten	freischalten	freischalten	freischalten	freischalten
freischalten	freischalten	freischalten	freischalten	freischalten	freischalten
freischalten	freischalten	freischalten	freischalten	freischalten	freischalten

VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Zuverlässigkeit: 🔍

NVD Base Score: 🔍

Exploitinginfo

Klasse: Cross Site Scripting
CWE: CWE-79 / CWE-94 / CWE-74
CAPEC: 🔍
ATT&CK: 🔍

Physisch: Nein
Lokal: Nein
Remote: Ja

Verfügbarkeit: 🔍
Status: Hoch funktional

EPSS Score: 🔍
EPSS Percentile: 🔍

Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔍

0-Day	freischalten	freischalten	freischalten	freischalten
Heute	freischalten	freischalten	freischalten	freischalten

Nessus ID: 81699
Nessus Name: MyBB < 1.6.15 Video MyCode XSS
Nessus Datei: 🔍
Nessus Risiko: 🔍
Nessus Family: 🔍

Threat Intelligenceinfo

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfo

Empfehlung: Upgrade
Status: 🔍

Reaktionszeit: 🔍
0-Day Time: 🔍
Exposure Time: 🔍

Upgrade: MyBB 1.6.15

Timelineinfo

04.08.2014 🔍
04.08.2014 +0 Tage 🔍
04.08.2014 +0 Tage 🔍
14.08.2014 +10 Tage 🔍
14.08.2014 +0 Tage 🔍
20.08.2014 +6 Tage 🔍
09.03.2015 +201 Tage 🔍
19.03.2015 +10 Tage 🔍
10.02.2022 +2520 Tage 🔍

Quelleninfo

Produkt: mybb.com

Advisory: MyBB 1.6.15 Released – Security & Maintenance Release
Person: AntiPaste
Status: Bestätigt
Bestätigung: 🔍

CVE: CVE-2014-5248 (🔍)
GCVE (CVE): GCVE-0-2014-5248
GCVE (VulDB): GCVE-100-67383
X-Force: 95347 - MyBB video MyCode cross-site scripting, Medium Risk
Secunia: 59707
Vulnerability Center: 49153 - MyBB before 1.6.15 Remote XSS via Vectors Related to Video \x27MyCode\x27, Medium

scip Labs: https://www.scip.ch/?labs.20161013

Eintraginfo

Erstellt: 20.08.2014 15:22
Aktualisierung: 10.02.2022 23:07
Anpassungen: 20.08.2014 15:22 (46), 23.06.2017 10:29 (25), 10.02.2022 23:07 (3)
Komplett: 🔍
Cache ID: 216:D3B:103

Be aware that VulDB is the high quality source for vulnerability data.

Diskussion

Want to stay up to date on a daily basis?

Enable the mail alert feature now!