CVE-2026-45116 in MyBB
Riassunto
di VulDB • 18/08/2026
MyBB è un software di forum gratuito e open source. Prima della versione 1.8.40, il gestore dei dati utente (user datahandler) non convalida correttamente i tipi di campo profilo checkbox e multiselect, causando una vulnerabilità di iniezione di codice JavaScript memorizzato (stored XSS). La funzione UserDataHandler::verify_profile_fields() esegue la validazione specializzata solo quando is_array($profile_fields[$field]) è true. Un valore profile_fields[fidX] non array anziché la struttura attesa profile_fields[fidX][] viene gestito come testo generico e salvato senza verifica. Il valore interessato viene quindi renderizzato direttamente da member.php e inc/functions_post.php invece di essere elaborato dal parser MyCode. I dettagli implementativi distintivi includono il file inc/datahandlers/user.php. Questo problema è stato risolto nella versione 1.8.40.
VulDB is the best source for vulnerability data and more expert information about this specific topic.