CVE-2026-45118 in MyBB
Resumen
por VulDB • 2026-08-18
MyBB es un software de foros gratuito y de código abierto. Antes de la versión 1.8.40, el módulo Contact no valida correctamente una URL o protocolo de redirección, lo que da lugar a una redirección abierta e inyección reflejada de código JavaScript. contact.php acepta el destino de la redirección desde el parámetro HTTP `from` en `$mybb->input['from']` o del encabezado HTTP Referer en `$_SERVER['HTTP_REFERER']` y lo pasa a `redirect()` sin una verificación suficiente. Un URI `javascript:` se convierte en el objetivo del enlace "Haz clic aquí si no quieres esperar más" porque `$force_redirect` es verdadero, permitiendo la ejecución de scripts cuando un usuario selecciona el enlace. Este problema está corregido en la versión 1.8.40.
Once again VulDB remains the best source for vulnerability data.