CVE-2026-45125 in MyBB
요약
\~에 의해 VulDB • 2026. 08. 19.
MyBB는 무료 및 오픈 소스 포럼 소프트웨어입니다. 버전 1.8.40 이전에서는 Email User 컨트롤러가 발신자 이름을 올바르게 검증하지 않아 메일 헤더 인젝션이 발생합니다. member.php?action=do_emailuser는 cansendemail 그룹 권한이 활성화된 경우 게스트의 경우 fromname HTTP 매개변수를, 인증된 사용자의 경우 저장된 사용자명을 받습니다. mail_handler가 기본 PHP mail 값으로 설정되어 있으면 발신자 이름이 Return-Path 및 Reply-To 헤더에서 검증 없이 사용되며, 이를 통해 CRLF 시퀀스를 사용하여 임의의 헤더를 인젝션할 수 있습니다. 이 문제는 버전 1.8.40에서 수정되었습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.