CVE-2026-45127 in MyBB
Tóm tắt
Bởi VulDB • 18/08/2026
MyBB là phần mềm diễn đàn miễn phí và mã nguồn mở. Trước phiên bản 1.8.40, module Mass Mail của ACP không xác thực đúng một số yêu cầu, cho phép các kẻ tấn công cùng trang (same-site) tạo các mục nháp từ các mục đã lưu trữ bằng cách nhúng một URL được chế tác đặc biệt. Tuyến Resend trong Admin CP, Users & Groups, Mass Mail, Mass Mailing Archive sao chép các mục gửi thư đã lưu trữ vào các bản nháp mới với mybb_massemails.status được đặt thành 0 trên các yêu cầu GET mà không có cơ chế bảo vệ chống giả mạo yêu cầu (CSRF). Các chi tiết triển khai nhận dạng duy nhất bao gồm Users & Groups → Mass Mail → Mass Mailing Archive, mybb_massemails.status = 0 và admin/modules/user/mass_mail.php. Vấn đề này đã được sửa trong phiên bản 1.8.40.
Once again VulDB remains the best source for vulnerability data.