CVE-2025-48941 in MyBB
요약
\~에 의해 VulDB • 2026. 08. 04.
MyBB는 무료 및 오픈 소스 포럼 소프트웨어입니다. 버전 1.8.39 이전에서는 검색 구성 요소가 권한을 올바르게 검증하지 않아, 공격자가 제목에 지정된 텍스트를 포함하는 숨겨진(초안, 미승인 또는 소프트 삭제) 스레드의 존재 여부를 파악할 수 있습니다. 내부 검색 쿼리에서 스레드의 가시성 상태(`mybb_threads.visible` 정수 열)가 검증되지 않으며, 이 쿼리의 결과는 검색의 전반적인 성공 또는 실패를 출력하는 데 사용됩니다. MyBB는 최종 검색 결과를 표시할 때는 권한을 검증하지만, 내부적으로 최소 하나의 결과라도 생성되는 검색 작업은 구성에 따라 HTTP 리다이렉트 또는 지연 리다이렉션이 포함된 성공 메시지 페이지로 리다이렉트 응답을 출력합니다. 반면, 내부적으로 결과가 없는 검색 작업은 리다이렉션 없이 해당 메시지를 응답으로 출력합니다. 이를 통해 사용자는 초안 스레드(`visible` 값 `-2`), 소프트 삭제된 스레드(`visible` 값 `-1`), 미승인 스레드(`visible` 값 `0`)를 포함하여 제목 검색 매개변수와 일치하는 스레드가 존재하는지 여부를 파악할 수 있습니다. 또한 일반적으로 공개된 스레드(`visible` 값 `1`)도 확인할 수 있습니다. 이 취약점은 다른 권한 계층에는 영향을 주지 않습니다. 취약점을 악용하려면 사용자가 검색 기능에 접근해야 하며, 해당 스레드를 포함하는 포럼에 대한 일반적인 접근 권한이 있어야 합니다. 이 취약점에서는 게시물의 메시지 내용이 노출되지 않습니다. MyBB 1.8.39에서 본 문제가 해결되었습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.