CVE-2020-15139highCWE-79

CVE-2020-15139: fallo de gravedad alta en MyBB

XSS in MyBB

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear mybb

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

21Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 8.8epss 1.3%
En resumen

El editor visual de MyBB no escapa correctamente el formato BBCode personalizado, permitiendo que atacantes inyecten scripts maliciosos que se ejecutan en el navegador del usuario al ver o editar mensajes. Esto puede comprometer cuentas o robar datos.

Detalle técnico

Vulnerabilidad XSS basada en DOM en el mecanismo de renderización de BBCode del editor visual de MyBB (CWE-79). Vector de ataque involucra mensajes MyCode maliciosos entregados mediante parámetros GET/POST o respuestas con citas; precondición requiere que la víctima visite una página con el editor visual activo. Impacto incluye ejecución arbitraria de JavaScript en el contexto del navegador de la víctima, potencialmente permitiendo secuestro de sesión o robo de credenciales.

Resumen generado y traducido por IA a partir de la descripción oficial.
In MyBB before version 1.8.24, the custom MyCode (BBCode) for the visual editor doesn't escape input properly when rendering HTML, resulting in a DOM-based XSS vulnerability. The weakness can be exploited by pointing a victim to a page where the visual editor is active (e.g. as a post or Private Message) and operates on a maliciously crafted MyCode message. This may occur on pages where message content is pre-filled using a GET/POST parameter, or on reply pages where a previously saved malicious message is quoted. After upgrading MyBB to 1.8.24, make sure to update the version attribute in the `codebuttons` template for non-default themes to serve the latest version of the patched `jscripts/bbcodes_sceditor.js` file.
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Productos afectados
MyBB · MyBB