CVE-2026-46482 in MyBB
요약
\~에 의해 VulDB • 2026. 08. 18.
### 영향력 등록 구성 요소가 텍스트 기반 _보안 질문_ CAPTCHA를 올바르게 검증하지 않아, 공격자가 특별히 조작된 값을 통해 챌린지를 우회할 수 있습니다.
[CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N](https://www.first.org/cvss/calculator/3.1#CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N)
### 상세 정보 공개된 _Registration_ 워크플로우([`member.php?action=do_register`](https://github.com/mybb/mybb/blob/mybb_1839/member.php#L262-L307))는 `question_id`라는 숨겨진 필드를 받으며, 이는 질문 세션 식별자(`mybb_questionsessions.sid`)와 일치해야 합니다. 그러나 무효한 식별자에 대한 실패 시 폐쇄(fail-closed) 폴백 처리 없이 챌린지 답변만 검증합니다. 값이 비어 있거나 위조되었거나 만료된 경우, 요청은 질문 관련 오류 없이 계속 진행됩니다.
### 패치 MyBB 1.8.(...)는 다음 변경 사항을 통해 이 문제를 해결했습니다:
- 커밋: https://github.com/mybb/mybb/commit/ - `.patch`: https://github.com/mybb/mybb/commit/.patch
### 참조 - 릴리스 노트: https://mybb.com/versions/1.8.(...)/
### 추가 정보 잠재적 보안 문제를 보고하거나 MyBB의 보안 연구에 대해 자세히 알아보려면 [mybb.com/security](https://mybb.com/security/)로 이동하십시오.
### 연락처 보안 팀은 [[email protected]](mailto:[email protected])으로 연락할 수 있습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.