CVE-2016-9417
WysokieStreszczenie
Funkcja fetch_remote_file w MyBB przed wersją 1.8.8 oraz w MyBB Merge System przed wersją 1.8.8 umożliwia zdalnym atakującym przeprowadzenie ataków typu server-side request forgery (SSRF) za pomocą nieokreślonych wektorów.
Ocena ryzyka
Atak SSRF może prowadzić do nieautoryzowanego dostępu do zasobów wewnętrznych serwera, co stwarza poważne zagrożenie dla bezpieczeństwa danych organizacji.
Rekomendacja
Zaleca się aktualizację MyBB do wersji 1.8.8 lub nowszej, aby zniwelować tę podatność.
Inne podatności w MyBB, MyBB Merge System
Zobacz wszystkie- CVE-2016-9418Wysokie
MyBB przed wersją 1.8.8 na systemie Windows oraz MyBB Merge System przed wersją 1.8.8 na systemie Windows mogą pozwolić zdalnym atakującym na uzyskanie wrażliwych informacji z kopii zapasowych ACP poprzez wykorzystanie krótkiej nazwy.
- CVE-2016-9415Wysokie
MyBB przed wersją 1.8.8 na systemie Windows oraz MyBB Merge System przed wersją 1.8.8 na systemie Windows umożliwiają zdalnym atakującym nadpisywanie dowolnych plików CSS poprzez wektory związane z 'importem stylów'.
- CVE-2016-9414Wysokie
MyBB przed wersją 1.8.7 oraz MyBB Merge System przed wersją 1.8.7 umożliwiają zdalnym atakującym uzyskanie wrażliwych informacji poprzez brak ochrony listy katalogów w katalogach przesyłania.
- CVE-2016-9410Wysokie
MyBB (znany również jako MyBulletinBoard) w wersjach przed 1.8.7 oraz MyBB Merge System przed 1.8.7 może umożliwić zdalnym atakującym uzyskanie wrażliwych informacji z bazy danych poprzez wykorzystanie szablonów.
- CVE-2015-8977Wysokie
MyBB przed wersją 1.6.18 oraz 1.8.x przed wersją 1.8.6 oraz MyBB Merge System przed wersją 1.8.6 umożliwiają zdalnym atakującym uzyskanie ścieżki instalacji poprzez wykorzystanie plików dziennika błędów.
- CVE-2016-9420Krytyczne
MyBB przed wersją 1.8.8 oraz MyBB Merge System przed wersją 1.8.8 mają lukę, która pozwala zdalnym atakującym na osiągnięcie nieokreślonego wpływu poprzez wektory związane z 'luźnymi porównaniami fałszywych pozytywów'.
- CVE-2016-9412Krytyczne
MyBB przed wersją 1.8.7 oraz MyBB Merge System przed wersją 1.8.7 mają lukę, która pozwala atakującym na osiągnięcie nieokreślonego wpływu poprzez wektory związane z niską entropią adminsid i sid.
Oryginalny opis (angielski, źródło NVD)
The fetch_remote_file function in MyBB (aka MyBulletinBoard) before 1.8.8 and MyBB Merge System before 1.8.8 allows remote attackers to conduct server-side request forgery (SSRF) attacks via unspecified vectors.