CVE-2026-47245
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
MyBB, oprogramowanie forum, przed wersją 1.8.40 w komponencie User CP Buddy/Ignore List nieprawidłowo waliduje wzajemne aktualizacje listy znajomych. Usuwanie wpisu z listy działań użytkownika aktualizuje listę znajomych docelowego konta, ale wyszukiwanie wzajemne używa identyfikatora usuniętego celu zamiast identyfikatora działającego użytkownika, a niezweryfikowana wartość array_search() może być użyta jako klucz tablicy, co może usunąć pierwszego znajomego z listy docelowego konta.
Ocena ryzyka
Atakujący może manipulować listami znajomych innych użytkowników, co może prowadzić do naruszenia integralności danych lub nieautoryzowanych zmian w profilach.
Rekomendacja
Zaktualizuj MyBB do wersji 1.8.40 lub nowszej, która zawiera poprawkę walidacji wzajemnych aktualizacji listy znajomych.
Oryginalny opis (angielski, źródło NVD)
MyBB is free and open source forum software. Prior to 1.8.40, the User CP Buddy/Ignore List component does not validate reciprocal buddy-list updates correctly. The usercp.php?action=do_editlists delete handler removes the selected entry from the acting user's list and then updates mybb_users.buddylist for the target account. The reciprocal update searches for the deleted target UID instead of the acting user's UID and uses the unchecked array_search() return value as an array key. A false result can be converted to index 0, removing the target account's first stored buddy while leaving the actual reciprocal entry unchanged. The uniquely identifying implementation details include false converted to index 0. This issue is fixed in version 1.8.40.