Podatności MyBB

MyBB w wersjach przed 1.8.11 umożliwia zdalnym atakującym ominięcie mechanizmu ochrony przed SSRF.

MyBB przed wersją 1.8.40 zawiera podatność w module Contact, która nie waliduje poprawnie adresu URL przekierowania, co prowadzi do otwartego przekierowania i wstrzyknięcia kodu JavaScript.

MyBB od wersji 1.8.13 do 1.8.40 zawiera podatność w module instalatora, która nieprawidłowo escapuje wartości konfiguracyjne bazy danych, co prowadzi do wstrzyknięcia kodu PHP i zdalnego wykonania kodu.

MyBB, oprogramowanie forum, przed wersją 1.8.40 w komponencie User CP Buddy/Ignore List nieprawidłowo waliduje wzajemne aktualizacje listy znajomych. Usuwanie wpisu z listy działań użytkownika aktualizuje listę znajomych docelowego konta, ale wyszukiwanie wzajemne używa identyfikatora usuniętego celu zamiast identyfikatora działającego użytkownika, a niezweryfikowana wartość array_search() może być użyta jako klucz tablicy, co może usunąć pierwszego znajomego z listy docelowego konta.

Komponent rejestracji w MyBB nie waliduje poprawnie tekstowej CAPTCHA opartej na pytaniu bezpieczeństwa, co pozwala atakującym ominąć zabezpieczenie poprzez specjalnie spreparowaną wartość. Pole question_id jest akceptowane bez sprawdzenia, czy identyfikator jest prawidłowy, a jeśli jest puste, sfałszowane lub wygasłe, żądanie kontynuuje bez błędu związanego z pytaniem.

MyBB przed wersją 1.8.40 nie egzekwuje spójnie jednorazowego użycia wbudowanej CAPTCHA, co pozwala zdalnym atakującym na ominięcie zabezpieczeń CAPTCHA poprzez powtórne użycie wyzwania. Ścieżki walidacji w contact.php, member.php?action=do_resendactivation, member.php?action=do_lostpw, member.php?action=do_emailuser i sendthread.php?action=do_sendtofriend nie wywołują captcha::invalidate_captcha() dla domyślnej CAPTCHA.

MyBB przed wersją 1.8.40 w module Recovery Codes w Panelu Administratora nie waliduje poprawnie żądań, co pozwala atakującym z tej samej witryny na rotację kodów odzyskiwania administratora za pomocą specjalnie spreparowanego URL. Strona action=recovery_codes regeneruje kody odzyskiwania dla uwierzytelniania dwuskładnikowego na żądania GET bez ochrony przed fałszerstwem żądań.

MyBB przed wersją 1.8.40 w module ACP Users View Manager nie waliduje poprawnie żądań, co pozwala atakującym z tej samej witryny na zmianę domyślnego widoku listy użytkowników administratora przez osadzenie specjalnie spreparowanego URL. Kontrolka Set as Default zmienia domyślny widok na żądania GET bez ochrony przed fałszerstwem żądań.

MyBB przed wersją 1.8.40 w module ACP Mass Mail nie waliduje poprawnie żądań, co pozwala atakującym z tej samej witryny na tworzenie wersji roboczych z zarchiwizowanych wpisów przez osadzenie specjalnie spreparowanego URL. Trasa Resend duplikuje zarchiwizowane wpisy do nowych wersji roboczych na żądania GET bez ochrony przed fałszerstwem żądań.

MyBB przed wersją 1.8.40 w module Admin CP Security Questions nie waliduje poprawnie tokenu anty-CSRF, co pozwala atakującym z tej samej witryny na włączanie lub wyłączanie pytań zabezpieczających rejestrację przez osadzenie specjalnie spreparowanego URL. Kontroler przetwarza żądania GET dla akcji disable i enable bez weryfikacji tokenu my_post_key.

MyBB przed wersją 1.8.40 w kontrolerze Email User nie sanityzuje poprawnie nazw nadawców, co prowadzi do wstrzykiwania nagłówków poczty. Parametr fromname jest akceptowany bez sanityzacji, a gdy mail_handler jest ustawiony na domyślny PHP mail, nazwa nadawcy jest używana w nagłówkach Return-Path i Reply-To, co pozwala na wstrzyknięcie dowolnych nagłówków za pomocą sekwencji CRLF.

MyBB przed wersją 1.8.40 w Mod CP Report Center nie sprawdza spójnie uprawnień, co pozwala moderatorom bez uprawnień do zarządzania raportami na oznaczanie raportów jako rozwiązane. Handler Mark Selected as Read jest osiągalny z canmodcp nawet bez canmanagereportedcontent lub canmanagereportedposts, a gdy brak forów w zakresie, zapytanie UPDATE wykonuje się bez oczekiwanego ograniczenia opartego na uprawnieniach.

MyBB przed wersją 1.8.40 w funkcji zdalnych żądań nie obsługuje poprawnie adresów IPv6, co prowadzi do podatności na fałszowanie żądań po stronie serwera (SSRF). Domyślna lista niedozwolonych hostów nie zawiera adresów IPv6, a weryfikacja w fetch_remote_file() zawodzi w trybie fail-open, gdy get_ip_by_hostname() nie zwraca wyników dla IPv6, co pozwala na ominięcie ograniczeń hosta.

MyBB przed wersją 1.8.40 w module kalendarza nie waliduje uprawnień moderacji dla docelowego kalendarza podczas przenoszenia wydarzeń. Użytkownik z uprawnieniami moderacji dla źródłowego kalendarza może przenieść wydarzenie do kalendarza, gdzie ma tylko uprawnienia do przeglądania, ponieważ akcja do_move w calendar.php nie sprawdza canmoderateevents dla docelowego kalendarza.

Przed wersją 1.8.40 moduł kalendarza w MyBB nie sprawdza spójnie uprawnień przy wyświetlaniu kalendarzy, co pozwala uwierzytelnionym użytkownikom na dostęp do tytułów kalendarzy, które są w inny sposób niedostępne. Ścieżki wyboru kalendarza w calendar.php wykonują sprawdzenia uprawnień względem nieprawidłowego kontekstu kalendarza przed zwróceniem tytułów. Problem został naprawiony w wersji 1.8.40.

Przed wersją 1.8.40 moduł kalendarza w MyBB nie weryfikuje spójnie statusu prywatnych wydarzeń, co pozwala użytkownikom z uprawnieniami do przeglądania i moderacji na dostęp i moderowanie prywatnych wydarzeń. Sprawdzenie prywatnych wydarzeń używane przez get_events() w inc/functions_calendar.php oraz akcja wydarzenia brakuje w pozostałych akcjach calendar.php, mimo zachowania ograniczonego dostępu opisanego w inc/languages/english/calendar.lang.php. Problem został naprawiony w wersji 1.8.40.

Przed wersją 1.8.40 moduł konwersji UTF-8 w Admin CP w MyBB nie waliduje poprawnie niektórych żądań, co pozwala atakującym z tej samej witryny na zmianę kodowania tabel i odmowę usługi za pomocą specjalnie spreparowanego URL. Przepływ sterowania do=all w admin/modules/tools/system_health.php wykonuje operacje ALTER TABLE, fazy przepisywania kolumn i odbudowy indeksów pełnotekstowych na żądaniach GET dla tabeli bazy danych wskazanej parametrem table bez weryfikacji żądania. Problem został naprawiony w wersji 1.8.40.

MyBB przed wersją 1.8.40 zawiera podatność na przechowywane wstrzykiwanie kodu JavaScript w polach profilu typu checkbox i multiselect. Walidacja pól profilu nie obsługuje poprawnie wartości niebędących tablicami, co pozwala na zapisanie złośliwego kodu, który jest następnie renderowany bez przetworzenia przez parser MyCode.

MyBB przed wersją 1.8.40 zawiera podatność na wstrzykiwanie kodu JavaScript przez specjalnie spreparowaną nazwę użytkownika w komponencie Buddy/Ignore. Nazwy użytkowników nie są poprawnie sanityzowane, co pozwala na pozostawienie nieucieczonych pojedynczych cudzysłowów, które mogą być wykorzystane do wykonania skryptu.

MyBB przed wersją 1.8.36 umożliwia wstrzykiwanie kodu przez użytkowników z określonymi wysokimi uprawnieniami. Szablony w Admin CP celowo używają funkcji eval, a walidacja wejścia do eval była niewystarczająca z powodu problemów z rzutowaniem typów przy użyciu PCRE w PHP.