CVE-2026-45115
WysokieCVSS 8.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
MyBB przed wersją 1.8.40 zawiera podatność na wstrzykiwanie kodu JavaScript przez specjalnie spreparowaną nazwę użytkownika w komponencie Buddy/Ignore. Nazwy użytkowników nie są poprawnie sanityzowane, co pozwala na pozostawienie nieucieczonych pojedynczych cudzysłowów, które mogą być wykorzystane do wykonania skryptu.
Ocena ryzyka
Atakujący może wykonać złośliwy skrypt w przeglądarce ofiary, co może prowadzić do kradzieży sesji, przejęcia konta lub innych ataków w kontekście aplikacji.
Rekomendacja
Zaleca się aktualizację MyBB do wersji 1.8.40 lub nowszej, która zawiera poprawkę.
Oryginalny opis (angielski, źródło NVD)
MyBB is free and open source forum software. Prior to 1.8.40, the Buddy/Ignore component does not sanitize usernames correctly, allowing attackers to perform JavaScript code injection through a specially crafted username. The User CP Buddy/Ignore list and the Select Buddies list in Private Messages pass usernames through htmlspecialchars_uni(), which may leave single quotes unescaped. The payload is triggered when a victim chooses Yes in Please Confirm while removing the username in usercp.php, or selects the username through the onclick handler in the xmlhttp.php Select Buddies popup. The uniquely identifying implementation details include Private Messages Select Buddies list, and unescaped single quotes. This issue is fixed in version 1.8.40.