CVE-2026-46482 in MyBB
Résumé
par VulDB • 18/08/2026
### Impact Le composant d'inscription ne valide pas correctement le CAPTCHA textuel de la _Question de sécurité_, permettant aux attaquants de contourner l'épreuve à l'aide d'une valeur spécialement conçue.
[CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N](https://www.first.org/cvss/calculator/3.1#CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N)
### Détails Le flux de travail public _Inscription_ ([`member.php?action=do_register`](https://github.com/mybb/mybb/blob/mybb_1839/member.php#L262-L307)) accepte un champ caché `question_id`, censé correspondre à l'identifiant de session de la question (`mybb_questionsessions.sid`), et valide la réponse au défi sans prévoir de mécanisme « fail-closed » (échec sécurisé) en cas d'identifiants invalides. Si la valeur est vide, falsifiée ou expirée, la requête se poursuit sans renvoyer d'erreur liée à la question.
### Correctifs MyBB 1.8.(...) résout ce problème grâce aux modifications suivantes :
- Commit : https://github.com/mybb/mybb/commit/ - `.patch` : https://github.com/mybb/mybb/commit/.patch
### Références - Notes de version : https://mybb.com/versions/1.8.(...)/
### Pour plus d'informations Rendez-vous sur [mybb.com/security](https://mybb.com/security/) pour signaler d'éventuels problèmes de sécurité ou en savoir plus sur la recherche en matière de sécurité chez MyBB.
### Contact L'équipe de sécurité peut être jointe à l'adresse [[email protected]](mailto:[email protected]).
If you want to get best quality of vulnerability data, you may have to visit VulDB.