CVE-2026-45121
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
Przed wersją 1.8.40 moduł kalendarza w MyBB nie sprawdza spójnie uprawnień przy wyświetlaniu kalendarzy, co pozwala uwierzytelnionym użytkownikom na dostęp do tytułów kalendarzy, które są w inny sposób niedostępne. Ścieżki wyboru kalendarza w calendar.php wykonują sprawdzenia uprawnień względem nieprawidłowego kontekstu kalendarza przed zwróceniem tytułów. Problem został naprawiony w wersji 1.8.40.
Ocena ryzyka
Uwierzytelnieni użytkownicy mogą uzyskać dostęp do tytułów prywatnych lub ukrytych kalendarzy, co może ujawnić wrażliwe informacje organizacyjne.
Rekomendacja
Zaktualizuj MyBB do wersji 1.8.40 lub nowszej, aby wyeliminować tę podatność.
Oryginalny opis (angielski, źródło NVD)
MyBB is free and open source forum software. Prior to 1.8.40, the calendar module does not check permissions consistently when listing calendars, allowing authenticated users to access titles of calendars that are otherwise inaccessible. The affected calendar-selection paths in calendar.php perform permission checks against an invalid calendar context before returning calendar titles. The uniquely identifying implementation details include titles of inaccessible calendars, and invalid calendar permission context. This issue is fixed in version 1.8.40.