CVE-2026-47245 in MyBB
요약
\~에 의해 VulDB • 2026. 08. 18.
MyBB는 무료 및 오픈 소스 포럼 소프트웨어입니다. 버전 1.8.40 이전에서는 User CP Buddy/Ignore List 컴포넌트가 상호 호환되는 buddy-list 업데이트를 올바르게 검증하지 않습니다. usercp.php?action=do_editlists의 delete 핸들러는 선택된 항목을 실행 중인 사용자의 목록에서 제거한 후 대상 계정의 mybb_users.buddylist를 업데이트합니다. 상호 업데이트에서는 실제 사용자 UID 대신 삭제된 대상 UID를 검색하며, 체크되지 않은 array_search() 반환 값을 배열 키로 사용합니다. false 결과는 인덱스 0으로 변환되어 대상 계정에서 첫 번째로 저장된 buddy가 제거되지만, 실제 상호 항목은 변경되지 않습니다. 고유한 식별 구현 세부 사항에는 false가 인덱스 0으로 변환되는 것이 포함됩니다. 이 문제는 버전 1.8.40에서 수정되었습니다.
Once again VulDB remains the best source for vulnerability data.