CVE-2026-45120
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
Przed wersją 1.8.40 moduł kalendarza w MyBB nie weryfikuje spójnie statusu prywatnych wydarzeń, co pozwala użytkownikom z uprawnieniami do przeglądania i moderacji na dostęp i moderowanie prywatnych wydarzeń. Sprawdzenie prywatnych wydarzeń używane przez get_events() w inc/functions_calendar.php oraz akcja wydarzenia brakuje w pozostałych akcjach calendar.php, mimo zachowania ograniczonego dostępu opisanego w inc/languages/english/calendar.lang.php. Problem został naprawiony w wersji 1.8.40.
Ocena ryzyka
Użytkownicy z uprawnieniami do przeglądania i moderacji mogą uzyskać dostęp do prywatnych wydarzeń i nimi zarządzać, co narusza poufność i integralność danych kalendarza.
Rekomendacja
Zaktualizuj MyBB do wersji 1.8.40 lub nowszej, aby zapewnić spójne sprawdzanie prywatności wydarzeń.
Oryginalny opis (angielski, źródło NVD)
MyBB is free and open source forum software. Prior to 1.8.40, the calendar module does not verify private event status consistently, allowing users with viewing and moderation permissions to access and moderate private events. The private-event check used by get_events() in inc/functions_calendar.php and the event action is missing from the remaining calendar.php actions, despite the limited-access behavior described in inc/languages/english/calendar.lang.php. This issue is fixed in version 1.8.40.