CVE-2020-15139

XSS in MyBB

CVSS 8.8 HIGHEPSS 1.3%CWE-79

En resumen

El editor visual de MyBB no escapa correctamente el formato BBCode personalizado, permitiendo que atacantes inyecten scripts maliciosos que se ejecutan en el navegador del usuario al ver o editar mensajes. Esto puede comprometer cuentas o robar datos.

Detalle técnico

Vulnerabilidad XSS basada en DOM en el mecanismo de renderización de BBCode del editor visual de MyBB (CWE-79). Vector de ataque involucra mensajes MyCode maliciosos entregados mediante parámetros GET/POST o respuestas con citas; precondición requiere que la víctima visite una página con el editor visual activo. Impacto incluye ejecución arbitraria de JavaScript en el contexto del navegador de la víctima, potencialmente permitiendo secuestro de sesión o robo de credenciales.

Resumen generado y traducido por IA a partir de la descripción oficial.

In MyBB before version 1.8.24, the custom MyCode (BBCode) for the visual editor doesn't escape input properly when rendering HTML, resulting in a DOM-based XSS vulnerability. The weakness can be exploited by pointing a victim to a page where the visual editor is active (e.g. as a post or Private Message) and operates on a maliciously crafted MyCode message. This may occur on pages where message content is pre-filled using a GET/POST parameter, or on reply pages where a previously saved malicious message is quoted. After upgrading MyBB to 1.8.24, make sure to update the version attribute in the `codebuttons` template for non-default themes to serve the latest version of the patched `jscripts/bbcodes_sceditor.js` file.

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Productos afectados

MyBB · MyBB

¿Quieres saber si tu infraestructura está expuesta a esto?

Hablar con TrueHacking →

Referencias

https://github.com/mybb/mybb/commit/37ad29dcd25489a37bdd89ebac761f22492558b0 https://github.com/mybb/mybb/security/advisories/GHSA-37h7-vfv6-f8rj https://mybb.com/versions/1.8.24/