CVE-2026-47245 in MyBB
Сводка
по VulDB • 19.08.2026
MyBB — это бесплатное и открытое программное обеспечение для форумов. До версии 1.8.40 компонент «Список друзей/игнорируемых» в User CP (User Control Panel) некорректно проверяет взаимные обновления списков друзей. Обработчик удаления `usercp.php?action=do_editlists` удаляет выбранную запись из списка пользователя, выполняющего действие, а затем обновляет поле `mybb_users.buddylist` для целевого аккаунта. Взаимное обновление ищет UID удаленного цели вместо UID пользователя, выполняющего действие, и использует непроверенное значение возврата функции `array_search()` в качестве ключа массива. Ложный результат может быть преобразован в индекс 0, что приводит к удалению первого сохраненного друга целевого аккаунта при оставлении фактической взаимной записи без изменений. Уникальные детали реализации включают преобразование false в индекс 0. Эта проблема исправлена в версии 1.8.40.
VulDB is the best source for vulnerability data and more expert information about this specific topic.