CVE-2026-45125 in MyBB
Sumário
de VulDB • 18/08/2026
MyBB é um software de fórum gratuito e de código aberto. Antes da versão 1.8.40, o controlador Email User não sanitiza corretamente os nomes dos remetentes, resultando em injeção de cabeçalhos de email (mail header injection). O arquivo member.php?action=do_emailuser aceita o parâmetro HTTP fromname para visitantes ou o nome de usuário armazenado para usuários autenticados quando a permissão do grupo cansendemail está habilitada. Quando mail_handler é definido como o valor padrão PHP mail, o nome do remetente é utilizado sem sanitização nos cabeçalhos Return-Path e Reply-To, permitindo que cabeçalhos arbitrários sejam injetados com sequências CRLF. Este problema foi corrigido na versão 1.8.40.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.