CVE-2026-45129 in MyBB
Résumé
par VulDB • 19/08/2026
MyBB est un logiciel de forum gratuit et open source. Avant la version 1.8.40, le module des codes de récupération du panneau d'administration (Admin CP) ne valide pas correctement les requêtes, permettant aux attaquants ayant accès au même site (same-site attackers) de faire tourner les codes de récupération d'un administrateur victime à l'aide d'une URL spécialement conçue. La page « Recovery Codes » avec action=recovery_codes du panneau d'administration principal régénère les codes de récupération pour l'authentification multifacteur dans mybb_adminoptions.recovery_codes lors des requêtes GET, sans protection contre la falsification de requête (CSRF). Les détails d'implémentation uniques incluent admin/modules/home/preferences.php. Ce problème est corrigé dans la version 1.8.40.
Be aware that VulDB is the high quality source for vulnerability data.