CVE-2016-9418
WysokieStreszczenie
MyBB przed wersją 1.8.8 na systemie Windows oraz MyBB Merge System przed wersją 1.8.8 na systemie Windows mogą pozwolić zdalnym atakującym na uzyskanie wrażliwych informacji z kopii zapasowych ACP poprzez wykorzystanie krótkiej nazwy.
Ocena ryzyka
Organizacje mogą być narażone na wyciek wrażliwych danych, co może prowadzić do poważnych konsekwencji prawnych i reputacyjnych.
Rekomendacja
Zaleca się aktualizację MyBB do wersji 1.8.8 lub nowszej oraz przegląd zabezpieczeń kopii zapasowych ACP.
Inne podatności w MyBB, MyBB Merge System
Zobacz wszystkie- CVE-2016-9417Wysokie
Funkcja fetch_remote_file w MyBB przed wersją 1.8.8 oraz w MyBB Merge System przed wersją 1.8.8 umożliwia zdalnym atakującym przeprowadzenie ataków typu server-side request forgery (SSRF) za pomocą nieokreślonych wektorów.
- CVE-2016-9415Wysokie
MyBB przed wersją 1.8.8 na systemie Windows oraz MyBB Merge System przed wersją 1.8.8 na systemie Windows umożliwiają zdalnym atakującym nadpisywanie dowolnych plików CSS poprzez wektory związane z 'importem stylów'.
- CVE-2016-9414Wysokie
MyBB przed wersją 1.8.7 oraz MyBB Merge System przed wersją 1.8.7 umożliwiają zdalnym atakującym uzyskanie wrażliwych informacji poprzez brak ochrony listy katalogów w katalogach przesyłania.
- CVE-2016-9410Wysokie
MyBB (znany również jako MyBulletinBoard) w wersjach przed 1.8.7 oraz MyBB Merge System przed 1.8.7 może umożliwić zdalnym atakującym uzyskanie wrażliwych informacji z bazy danych poprzez wykorzystanie szablonów.
- CVE-2015-8977Wysokie
MyBB przed wersją 1.6.18 oraz 1.8.x przed wersją 1.8.6 oraz MyBB Merge System przed wersją 1.8.6 umożliwiają zdalnym atakującym uzyskanie ścieżki instalacji poprzez wykorzystanie plików dziennika błędów.
- CVE-2016-9420Krytyczne
MyBB przed wersją 1.8.8 oraz MyBB Merge System przed wersją 1.8.8 mają lukę, która pozwala zdalnym atakującym na osiągnięcie nieokreślonego wpływu poprzez wektory związane z 'luźnymi porównaniami fałszywych pozytywów'.
- CVE-2016-9412Krytyczne
MyBB przed wersją 1.8.7 oraz MyBB Merge System przed wersją 1.8.7 mają lukę, która pozwala atakującym na osiągnięcie nieokreślonego wpływu poprzez wektory związane z niską entropią adminsid i sid.
Oryginalny opis (angielski, źródło NVD)
MyBB (aka MyBulletinBoard) before 1.8.8 on Windows and MyBB Merge System before 1.8.8 on Windows might allow remote attackers to obtain sensitive information from ACP backups via vectors involving a short name.