CVE-2026-45118

MyBB w wersjach przed 1.8.11 umożliwia zdalnym atakującym ominięcie mechanizmu ochrony przed SSRF.

MyBB od wersji 1.8.13 do 1.8.40 zawiera podatność w module instalatora, która nieprawidłowo escapuje wartości konfiguracyjne bazy danych, co prowadzi do wstrzyknięcia kodu PHP i zdalnego wykonania kodu.

MyBB, oprogramowanie forum, przed wersją 1.8.40 w komponencie User CP Buddy/Ignore List nieprawidłowo waliduje wzajemne aktualizacje listy znajomych. Usuwanie wpisu z listy działań użytkownika aktualizuje listę znajomych docelowego konta, ale wyszukiwanie wzajemne używa identyfikatora usuniętego celu zamiast identyfikatora działającego użytkownika, a niezweryfikowana wartość array_search() może być użyta jako klucz tablicy, co może usunąć pierwszego znajomego z listy docelowego konta.

Komponent rejestracji w MyBB nie waliduje poprawnie tekstowej CAPTCHA opartej na pytaniu bezpieczeństwa, co pozwala atakującym ominąć zabezpieczenie poprzez specjalnie spreparowaną wartość. Pole question_id jest akceptowane bez sprawdzenia, czy identyfikator jest prawidłowy, a jeśli jest puste, sfałszowane lub wygasłe, żądanie kontynuuje bez błędu związanego z pytaniem.

MyBB przed wersją 1.8.40 nie egzekwuje spójnie jednorazowego użycia wbudowanej CAPTCHA, co pozwala zdalnym atakującym na ominięcie zabezpieczeń CAPTCHA poprzez powtórne użycie wyzwania. Ścieżki walidacji w contact.php, member.php?action=do_resendactivation, member.php?action=do_lostpw, member.php?action=do_emailuser i sendthread.php?action=do_sendtofriend nie wywołują captcha::invalidate_captcha() dla domyślnej CAPTCHA.

MyBB przed wersją 1.8.40 w module Recovery Codes w Panelu Administratora nie waliduje poprawnie żądań, co pozwala atakującym z tej samej witryny na rotację kodów odzyskiwania administratora za pomocą specjalnie spreparowanego URL. Strona action=recovery_codes regeneruje kody odzyskiwania dla uwierzytelniania dwuskładnikowego na żądania GET bez ochrony przed fałszerstwem żądań.

MyBB przed wersją 1.8.40 w module ACP Users View Manager nie waliduje poprawnie żądań, co pozwala atakującym z tej samej witryny na zmianę domyślnego widoku listy użytkowników administratora przez osadzenie specjalnie spreparowanego URL. Kontrolka Set as Default zmienia domyślny widok na żądania GET bez ochrony przed fałszerstwem żądań.

MyBB przed wersją 1.8.40 w module ACP Mass Mail nie waliduje poprawnie żądań, co pozwala atakującym z tej samej witryny na tworzenie wersji roboczych z zarchiwizowanych wpisów przez osadzenie specjalnie spreparowanego URL. Trasa Resend duplikuje zarchiwizowane wpisy do nowych wersji roboczych na żądania GET bez ochrony przed fałszerstwem żądań.

MyBB przed wersją 1.8.40 w module Admin CP Security Questions nie waliduje poprawnie tokenu anty-CSRF, co pozwala atakującym z tej samej witryny na włączanie lub wyłączanie pytań zabezpieczających rejestrację przez osadzenie specjalnie spreparowanego URL. Kontroler przetwarza żądania GET dla akcji disable i enable bez weryfikacji tokenu my_post_key.

MyBB przed wersją 1.8.40 w kontrolerze Email User nie sanityzuje poprawnie nazw nadawców, co prowadzi do wstrzykiwania nagłówków poczty. Parametr fromname jest akceptowany bez sanityzacji, a gdy mail_handler jest ustawiony na domyślny PHP mail, nazwa nadawcy jest używana w nagłówkach Return-Path i Reply-To, co pozwala na wstrzyknięcie dowolnych nagłówków za pomocą sekwencji CRLF.