CVE-2016-9410
WysokieStreszczenie
MyBB (znany również jako MyBulletinBoard) w wersjach przed 1.8.7 oraz MyBB Merge System przed 1.8.7 może umożliwić zdalnym atakującym uzyskanie wrażliwych informacji z bazy danych poprzez wykorzystanie szablonów.
Ocena ryzyka
Atakujący mogą uzyskać dostęp do poufnych danych, co może prowadzić do poważnych naruszeń bezpieczeństwa i utraty zaufania użytkowników.
Rekomendacja
Zaleca się aktualizację MyBB oraz MyBB Merge System do wersji 1.8.7 lub nowszej, aby zniwelować tę podatność.
Inne podatności w MyBB, MyBB Merge System
Zobacz wszystkie- CVE-2016-9418Wysokie
MyBB przed wersją 1.8.8 na systemie Windows oraz MyBB Merge System przed wersją 1.8.8 na systemie Windows mogą pozwolić zdalnym atakującym na uzyskanie wrażliwych informacji z kopii zapasowych ACP poprzez wykorzystanie krótkiej nazwy.
- CVE-2016-9417Wysokie
Funkcja fetch_remote_file w MyBB przed wersją 1.8.8 oraz w MyBB Merge System przed wersją 1.8.8 umożliwia zdalnym atakującym przeprowadzenie ataków typu server-side request forgery (SSRF) za pomocą nieokreślonych wektorów.
- CVE-2016-9415Wysokie
MyBB przed wersją 1.8.8 na systemie Windows oraz MyBB Merge System przed wersją 1.8.8 na systemie Windows umożliwiają zdalnym atakującym nadpisywanie dowolnych plików CSS poprzez wektory związane z 'importem stylów'.
- CVE-2016-9414Wysokie
MyBB przed wersją 1.8.7 oraz MyBB Merge System przed wersją 1.8.7 umożliwiają zdalnym atakującym uzyskanie wrażliwych informacji poprzez brak ochrony listy katalogów w katalogach przesyłania.
- CVE-2015-8977Wysokie
MyBB przed wersją 1.6.18 oraz 1.8.x przed wersją 1.8.6 oraz MyBB Merge System przed wersją 1.8.6 umożliwiają zdalnym atakującym uzyskanie ścieżki instalacji poprzez wykorzystanie plików dziennika błędów.
- CVE-2016-9420Krytyczne
MyBB przed wersją 1.8.8 oraz MyBB Merge System przed wersją 1.8.8 mają lukę, która pozwala zdalnym atakującym na osiągnięcie nieokreślonego wpływu poprzez wektory związane z 'luźnymi porównaniami fałszywych pozytywów'.
- CVE-2016-9412Krytyczne
MyBB przed wersją 1.8.7 oraz MyBB Merge System przed wersją 1.8.7 mają lukę, która pozwala atakującym na osiągnięcie nieokreślonego wpływu poprzez wektory związane z niską entropią adminsid i sid.
Oryginalny opis (angielski, źródło NVD)
MyBB (aka MyBulletinBoard) before 1.8.7 and MyBB Merge System before 1.8.7 might allow remote attackers to obtain sensitive database information via vectors involving templates.