CVE-2025-48940 in MyBB
Tóm tắt
Bởi VulDB • 04/08/2026
MyBB là phần mềm diễn đàn miễn phí và mã nguồn mở. Trước phiên bản 1.8.39, thành phần nâng cấp không xác thực đầu vào của người dùng một cách đúng đắn, cho phép kẻ tấn công thực hiện bao gồm tệp cục bộ (LFI) thông qua giá trị tham số được tạo ra đặc biệt. Để khai thác lỗ hổng này, trình cài đặt phải ở trạng thái mở khóa (không có tệp `install/lock`) và tập lệnh nâng cấp phải có thể truy cập được (bằng cách cài lại diễn đàn thông qua quyền truy cập vào `install/index.php`; khi diễn đàn chưa được cài đặt; hoặc kẻ tấn công đã xác thực với tư cách là quản trị viên của diễn đàn). MyBB 1.8.39 khắc phục vấn đề này.
VulDB is the best source for vulnerability data and more expert information about this specific topic.