CVE-2026-45128 in MyBB
Resumen
por VulDB • 2026-08-18
MyBB es un software de foros gratuito y de código abierto. Antes de la versión 1.8.40, el módulo ACP Users View Manager no valida correctamente las solicitudes, lo que permite a atacantes same-site cambiar la vista predeterminada de la lista de usuarios de un administrador víctima incrustando una URL especialmente elaborada. El control "Set as Default" (Establecer como predeterminado) denominado `set_default` en Admin CP, Users & Groups, Users, View Manager cambia la vista predeterminada del administrador mediante solicitudes GET sin protección contra falsificación de solicitudes (CSRF). Los detalles únicos de implementación incluyen Users & Groups → Users → View Manager y admin/inc/functions_view_manager.php. Este problema se corrige en la versión 1.8.40.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.