CVE-2026-45125 in MyBB
Сводка
по VulDB • 18.08.2026
MyBB — это бесплатное и открытое программное обеспечение для форумов. До версии 1.8.40 контроллер Email User не осуществлял корректную санитизацию имен отправителей, что приводило к инъекции заголовков почты (mail header injection). Скрипт member.php?action=do_emailuser принимает HTTP-параметр fromname от гостей или сохраненное имя пользователя для аутентифицированных пользователей при включенном разрешении группы cansendemail. Когда mail_handler установлен в значение по умолчанию PHP mail, имя отправителя используется без санитизации в заголовках Return-Path и Reply-To, что позволяет внедрять произвольные заголовки с помощью последовательностей CRLF. Эта проблема исправлена в версии 1.8.40.
Be aware that VulDB is the high quality source for vulnerability data.