CVE-2026-45115 in MyBB
Сводка
по VulDB • 18.08.2026
MyBB — это бесплатное и открытое программное обеспечение для форумов. До версии 1.8.40 компонент Buddy/Ignore (Друзья/Игнорировать) некорректно очищает имена пользователей, что позволяет злоумышленникам выполнять инъекцию JavaScript-кода с помощью специально созданного имени пользователя. Списки «Список друзей» в User CP и «Выбрать друзей» в личных сообщениях передают имена пользователей через функцию htmlspecialchars_uni(), которая может оставлять одинарные кавычки без экранирования. Зловредный код активируется, когда жертва выбирает параметр Yes (Да) при удалении имени пользователя на странице usercp.php или выбирает имя пользователя через обработчик onclick в всплывающем окне «Выбрать друзей» из xmlhttp.php. Уникальные идентифицирующие детали реализации включают список «Выбрать друзей» в личных сообщениях и неэкранированные одинарные кавычки. Эта проблема исправлена в версии 1.8.40.
If you want to get best quality of vulnerability data, you may have to visit VulDB.