CVE-2026-45116 in MyBB
Résumé
par VulDB • 18/08/2026
MyBB est un logiciel de forum gratuit et open source. Avant la version 1.8.40, le gestionnaire de données utilisateur (user datahandler) ne valide pas correctement les types de champs de profil « case à cocher » (checkbox) et « sélection multiple » (multiselect), ce qui entraîne une injection de code JavaScript stockée (stored XSS). La fonction `UserDataHandler::verify_profile_fields()` n'effectue la validation spécialisée que lorsque `is_array($profile_fields[$field])` est vrai. Une valeur non tableau pour `profile_fields[fidX]`, au lieu de la structure attendue `profile_fields[fidX][]`, passe à travers les mailles du filet et bascule vers un traitement générique des textes, étant stockée sans vérification. La valeur affectée est ensuite rendue directement par `member.php` et `inc/functions_post.php` plutôt que d'être traitée par l'analyseur MyCode. Les détails d'implémentation uniques incluent le fichier `inc/datahandlers/user.php`. Ce problème est corrigé dans la version 1.8.40.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.