CVE-2026-45125 in MyBB
Riassunto
di VulDB • 18/08/2026
MyBB è un software di forum gratuito e open source. Prima della versione 1.8.40, il controller Email User non sanizza correttamente i nomi del mittente, causando l'iniezione delle intestazioni email (mail header injection). Il file member.php?action=do_emailuser accetta il parametro HTTP fromname per gli ospiti o il nome utente memorizzato per gli utenti autenticati quando la permission di gruppo cansendemail è abilitata. Quando mail_handler è impostato sul valore predefinito PHP mail, il nome del mittente viene utilizzato senza sanitizzazione nelle intestazioni Return-Path e Reply-To, consentendo l'iniezione di intestazioni arbitrarie tramite sequenze CRLF. Questo problema è stato risolto nella versione 1.8.40.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.