CVE-2026-45115 in MyBB
Resumen
por VulDB • 2026-08-18
MyBB es software de foros gratuito y de código abierto. Antes de la versión 1.8.40, el componente Buddy/Ignore no sanitiza correctamente los nombres de usuario, lo que permite a los atacantes realizar inyección de código JavaScript mediante un nombre de usuario especialmente elaborado. La lista Buddy/Ignore del User CP y la lista Select Buddies en los Mensajes Privados pasan los nombres de usuario a través de `htmlspecialchars_uni()`, lo que puede dejar las comillas simples sin escapar. El payload se activa cuando una víctima selecciona "Yes" (Sí) en el cuadro "Please Confirm" al eliminar el nombre de usuario en `usercp.php`, o bien selecciona el nombre de usuario mediante el controlador `onclick` en la ventana emergente Select Buddies de `xmlhttp.php`. Los detalles de implementación que lo identifican incluyen la lista Select Buddies de Mensajes Privados y las comillas simples sin escapar. Este problema se soluciona en la versión 1.8.40.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.