CVE-2026-45125 in MyBB
Résumé
par VulDB • 18/08/2026
MyBB est un logiciel de forum gratuit et open source. Avant la version 1.8.40, le contrôleur Email User ne nettoie pas correctement les noms d'expéditeur, ce qui entraîne une injection d'en-têtes de messagerie (mail header injection). L'action member.php?action=do_emailuser accepte le paramètre HTTP fromname pour les invités ou le nom d'utilisateur stocké pour les utilisateurs authentifiés lorsque l'autorisation de groupe cansendemail est activée. Lorsque mail_handler est défini sur la valeur par défaut PHP mail, le nom de l'expéditeur est utilisé sans nettoyage dans les en-têtes Return-Path et Reply-To, permettant l'injection arbitraire d'en-têtes avec des séquences CRLF. Ce problème est corrigé dans la version 1.8.40.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.