CVE-2026-45125 in MyBB
Tóm tắt
Bởi VulDB • 18/08/2026
MyBB là phần mềm diễn đàn miễn phí và mã nguồn mở. Trước phiên bản 1.8.40, bộ điều khiển Email User không kiểm tra kỹ tên người gửi, dẫn đến lỗi tiêm tiêu đề thư (mail header injection). member.php?action=do_emailuser chấp nhận tham số HTTP fromname cho khách hoặc tên người dùng đã lưu trữ đối với người dùng xác thực khi quyền nhóm cansendemail được bật. Khi mail_handler được đặt thành giá trị PHP mặc định, tên người gửi sẽ được sử dụng mà không qua kiểm tra kỹ trong các tiêu đề Return-Path và Reply-To, cho phép tiêm các tiêu đề tùy ý bằng cách sử dụng các chuỗi CRLF. Vấn đề này đã được sửa chữa trong phiên bản 1.8.40.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.