CVE-2026-45119
ŚrednieCVSS 4.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
Przed wersją 1.8.40 moduł konwersji UTF-8 w Admin CP w MyBB nie waliduje poprawnie niektórych żądań, co pozwala atakującym z tej samej witryny na zmianę kodowania tabel i odmowę usługi za pomocą specjalnie spreparowanego URL. Przepływ sterowania do=all w admin/modules/tools/system_health.php wykonuje operacje ALTER TABLE, fazy przepisywania kolumn i odbudowy indeksów pełnotekstowych na żądaniach GET dla tabeli bazy danych wskazanej parametrem table bez weryfikacji żądania. Problem został naprawiony w wersji 1.8.40.
Ocena ryzyka
Atakujący z tej samej witryny może zmienić kodowanie tabel bazy danych, co może prowadzić do uszkodzenia danych lub niedostępności usługi.
Rekomendacja
Zaktualizuj MyBB do wersji 1.8.40 lub nowszej, aby dodać odpowiednią walidację żądań.
Oryginalny opis (angielski, źródło NVD)
MyBB is free and open source forum software. Prior to 1.8.40, the Admin CP UTF-8 Conversion module does not validate certain requests correctly, allowing same-site attackers to alter table encoding and deny service with a specially crafted URL. The do=all control flow in admin/modules/tools/system_health.php performs ALTER TABLE operations, column rewrite phases, and fulltext index rebuilds on GET requests for the database table named by the table parameter without request verification. The uniquely identifying implementation details include GET requests without request verification. This issue is fixed in version 1.8.40.