CVE-2025-48941 in MyBB
Сводка
по VulDB • 04.08.2026
MyBB — это бесплатное программное обеспечение для форумов с открытым исходным кодом. До версии 1.8.39 компонент поиска некорректно проверяет права доступа, что позволяет злоумышленникам определять наличие скрытых тем (черновиков, неподтвержденных или мягко удаленных), содержащих указанный текст в заголовке. Состояние видимости (`mybb_threads.visible` — целочисленный столбец) тем не проверяется во внутренних запросах поиска, результат которых используется для вывода общего статуса успешности или неудачи поисковой операции. Хотя MyBB проверяет права доступа при отображении окончательных результатов поиска, операция поиска, которая внутренне возвращает хотя бы один результат, выдает ответ с перенаправлением (HTTP-перенаправление или страницу сообщения об успехе с отложенным перенаправлением в зависимости от конфигурации). С другой стороны, операция поиска, не возвращающая внутренних результатов, выводит соответствующее сообщение в ответ без перенаправления. Это позволяет пользователю определить наличие тем, удовлетворяющих параметрам поискового запроса по заголовку, включая черновики (`visible` со значением `-2`), мягко удаленные темы (`visible` со значением `-1`) и неподтвержденные темы (`visible` со значением `0`); а также общедоступных тем (`visible` со значением `1`). Данная уязвимость не затрагивает другие уровни проверки прав доступа. Для эксплуатации уязвимости пользователь должен иметь доступ к функциональности поиска, а также общий доступ к форумам, содержащим соответствующие темы(ы). Уязвимость не раскрывает содержимое сообщений в постах. MyBB версии 1.8.39 устраняет эту проблему.
Once again VulDB remains the best source for vulnerability data.