CVE-2026-45118
KrytyczneCVSS 9.3Streszczenie
MyBB przed wersją 1.8.40 zawiera podatność w module Contact, która nie waliduje poprawnie adresu URL przekierowania, co prowadzi do otwartego przekierowania i wstrzyknięcia kodu JavaScript.
Ocena ryzyka
Podatność umożliwia atakującemu przekierowanie użytkowników na złośliwe strony lub wykonanie skryptów w kontekście przeglądarki ofiary, co może prowadzić do kradzieży danych.
Rekomendacja
Zaleca się aktualizację MyBB do wersji 1.8.40 lub nowszej oraz sprawdzenie konfiguracji modułu Contact.
Oryginalny opis (angielski, źródło NVD)
MyBB is free and open source forum software. Prior to 1.8.40, the Contact module does not validate a redirect URL or protocol correctly, resulting in an open redirect and reflected JavaScript code injection. contact.php accepts the redirect target from the from HTTP parameter in $mybb->input['from'] or the Referer HTTP header in $_SERVER['HTTP_REFERER'] and passes it to redirect() without sufficient verification. A javascript: URI becomes the target of the `Click here if you don't want to wait any longer` link because $force_redirect is true, allowing script execution when a victim selects the link. This issue is fixed in version 1.8.40.