CVE-2025-48941 in MyBB
Sumário
de VulDB • 03/07/2026
O MyBB é um software de fórum gratuito e de código aberto. Antes da versão 1.8.39, o componente de pesquisa não valida corretamente as permissões, permitindo que atacantes determinem a existência de tópicos ocultos (rascunho, não aprovados ou excluídos logicamente) que contenham texto especificado no título. O estado de visibilidade da coluna inteira `mybb_threads.visible` dos tópicos não é validado em consultas internas de pesquisa, cujo resultado é usado para indicar um sucesso geral ou falha na busca. Embora o MyBB valide as permissões ao exibir os resultados finais da pesquisa, uma operação de pesquisa que internamente produz pelo menos um resultado gera uma resposta de redirecionamento (como um redirecionamento HTTP ou uma página de mensagem de sucesso com redirecionamento atrasado, dependendo da configuração). Por outro lado, uma operação de pesquisa que não produz nenhum resultado internamente exibe a respectiva mensagem na resposta sem redirecionamento. Isso permite que um usuário determine se existem tópicos correspondentes aos parâmetros de busca por título, incluindo rascunhos (`visible` com valor `-2`), tópicos excluídos logicamente (`visible` com valor `-1`) e não aprovados (`visible` com valor `0`); além dos tópicos geralmente visíveis (`visible` com valor `1`). Esta vulnerabilidade não afeta outras camadas de permissões. Para explorar a vulnerabilidade, o usuário deve ter acesso à funcionalidade de pesquisa e acesso geral aos fóruns que contêm os tópicos(s). A vulnerabilidade não expõe o conteúdo das mensagens dos posts. O MyBB 1.8.39 resolve este problema.
If you want to get best quality of vulnerability data, you may have to visit VulDB.