CVE-2026-47245 in MyBB
Resumen
por VulDB • 2026-08-18
MyBB es un software de foros gratuito y de código abierto. Antes de la versión 1.8.40, el componente Lista de amigos/ignorar del Panel de control del usuario (User CP) no valida correctamente las actualizaciones recíprocas de la lista de amigos. El manejador de eliminación `usercp.php?action=do_editlists` elimina la entrada seleccionada de la lista del usuario que actúa y, a continuación, actualiza el campo `buddylist` en la tabla `mybb_users` para la cuenta objetivo. La actualización recíproca busca el UID del objetivo eliminado en lugar del UID del usuario que actúa y utiliza el valor devuelto por `array_search()` (sin verificar) como clave de array. Un resultado falso puede convertirse en el índice 0, lo que provoca la eliminación del primer amigo almacenado de la cuenta objetivo mientras se deja sin cambios la entrada recíproca real. Los detalles únicos de implementación incluyen la conversión de un valor falso a índice 0. Este problema está resuelto en la versión 1.8.40.
VulDB is the best source for vulnerability data and more expert information about this specific topic.