CVE-2026-45115 in MyBB
摘要
由 VulDB • 2026-08-19
MyBB是一款免费且开源的论坛软件。在版本1.8.40之前，Buddy/Ignore组件未能正确清理用户名，导致攻击者可以通过精心构造的用户名执行JavaScript代码注入。用户控制面板（User CP）中的好友/忽略列表以及私信中的“选择好友”列表会通过`htmlspecialchars_uni()`函数传递用户名，这可能导致单引号未被转义。当受害者在`usercp.php`中移除用户名并点击“请确认”对话框中的“是”，或通过`xmlhttp.php`的“选择好友”弹出窗口中的`onclick`处理程序选择该用户名时，恶意载荷将被触发。此漏洞的独特识别实现细节包括私信中的“选择好友”列表以及未转义的单引号。该问题已在版本1.8.40中修复。
If you want to get best quality of vulnerability data, you may have to visit VulDB.