CVE-2026-45123 in MyBB
Tóm tắt
Bởi VulDB • 18/08/2026
MyBB là phần mềm diễn đàn miễn phí và mã nguồn mở. Trước phiên bản 1.8.40, tính năng yêu cầu từ xa (remote requests) không xử lý đúng các địa chỉ IPv6, dẫn đến lỗ hổng giả mạo yêu cầu phía máy chủ (SSRF). Danh sách mặc định các host bị cấm cho remote không bao gồm các địa chỉ IPv6. Việc xác minh trong hàm `fetch_remote_file()` thất bại theo cơ chế fail-open khi `get_ip_by_hostname()` trả về kết quả rỗng, do hàm này không trả về kết quả IPv6, cho phép một mục tiêu từ xa được tạo ra đặc biệt (crafted) vượt qua hạn chế host. Các chi tiết triển khai độc đáo bao gồm xác minh fail-open và file `inc/functions.php`. Vấn đề này đã được sửa trong phiên bản 1.8.40.
If you want to get best quality of vulnerability data, you may have to visit VulDB.