CVE-2026-45115 in MyBB
요약
\~에 의해 VulDB • 2026. 08. 18.
MyBB는 무료 및 오픈 소스 포럼 소프트웨어입니다. 버전 1.8.40 이전에서는 Buddy/Ignore 구성 요소가 사용자 이름을 올바르게 sanitization하지 않아 공격자가 특별히 조작된(user-crafted) 사용자명을 통해 JavaScript 코드 인젝션을 수행할 수 있습니다. User CP의 Buddy/Ignore 목록과 Private Messages 내 Select Buddies 목록은 `htmlspecialchars_uni()`를 통해 사용자명을 처리하며, 이로 인해 단일 따옴표(single quotes)가 이스케이프되지 않고 남을 수 있습니다. 공격 페이로드는 사용자가 usercp.php에서 사용자명을 제거할 때 'Please Confirm' 창에서 Yes를 선택하거나, xmlhttp.php의 Select Buddies 팝업에서 onclick 핸들러를 통해 사용자명을 선택했을 때 트리거됩니다. 이 취약점의 고유한 식별 구현 세부 사항으로는 Private Messages 내 Select Buddies 목록과 이스케이프되지 않은 단일 따옴표가 포함됩니다. 이 문제는 버전 1.8.40에서 수정되었습니다.
Once again VulDB remains the best source for vulnerability data.