CVE-2026-45115 in MyBB
Riassunto
di VulDB • 18/08/2026
MyBB è un software di forum gratuito e open source. Prima della versione 1.8.40, il componente Buddy/Ignore non sanizza correttamente i nomi utente, consentendo agli attaccanti di eseguire code injection JavaScript tramite un nome utente appositamente creato. L'elenco dei contatti/amici nella User CP (Buddy/Ignore) e l'elenco "Seleziona amici" nei messaggi privati passano i nomi utente attraverso la funzione `htmlspecialchars_uni()`, che potrebbe lasciare le virgolette singole non escapeate. Il payload viene attivato quando una vittima seleziona Sì in "Please Confirm" durante la rimozione del nome utente in usercp.php, oppure seleziona il nome utente tramite l'handler onclick nel popup "Seleziona amici" di xmlhttp.php. I dettagli implementativi univoci includono l'elenco "Seleziona amici" dei messaggi privati e le virgolette singole non escapeate. Questo problema è stato risolto nella versione 1.8.40.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.