CVE-2026-45123
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
MyBB przed wersją 1.8.40 w funkcji zdalnych żądań nie obsługuje poprawnie adresów IPv6, co prowadzi do podatności na fałszowanie żądań po stronie serwera (SSRF). Domyślna lista niedozwolonych hostów nie zawiera adresów IPv6, a weryfikacja w fetch_remote_file() zawodzi w trybie fail-open, gdy get_ip_by_hostname() nie zwraca wyników dla IPv6, co pozwala na ominięcie ograniczeń hosta.
Ocena ryzyka
Atakujący może wykorzystać SSRF do uzyskania dostępu do wewnętrznych zasobów sieciowych, co może prowadzić do wycieku danych lub dalszych ataków.
Rekomendacja
Zaktualizuj MyBB do wersji 1.8.40 lub nowszej, która zawiera poprawkę obsługi adresów IPv6 w funkcji zdalnych żądań.
Oryginalny opis (angielski, źródło NVD)
MyBB is free and open source forum software. Prior to 1.8.40, the remote requests feature does not correctly handle IPv6 addresses, resulting in a server-side request forgery vulnerability. The default disallowed remote hosts list does not include IPv6 addresses. Verification in fetch_remote_file() fails open when get_ip_by_hostname() returns no result because that function does not return IPv6 results, allowing a crafted remote target to bypass the host restriction. The uniquely identifying implementation details include fail-open verification, and inc/functions.php. This issue is fixed in version 1.8.40.