← voltar
CVE-2020-15139

XSS in MyBB

CVSS 8.8 HIGHEPSS 1.3%CWE-79
Em resumo

O editor visual do MyBB não escapa corretamente a formatação customizada BBCode, permitindo que atacantes injetem scripts maliciosos que são executados no navegador do usuário ao visualizar ou editar mensagens. Isso pode comprometer contas ou roubar dados.

Detalhe técnico

Vulnerabilidade XSS baseada em DOM no mecanismo de renderização de BBCode do editor visual do MyBB (CWE-79). Vetor de ataque envolve mensagens MyCode maliciosas entregues por parâmetros GET/POST ou respostas com citações; pré-condição requer que a vítima visite uma página com o editor visual ativo. Impacto inclui execução arbitrária de JavaScript no contexto do navegador da vítima, potencialmente permitindo roubo de sessão ou credenciais.

Resumo gerado e traduzido por IA a partir da descrição oficial.
In MyBB before version 1.8.24, the custom MyCode (BBCode) for the visual editor doesn't escape input properly when rendering HTML, resulting in a DOM-based XSS vulnerability. The weakness can be exploited by pointing a victim to a page where the visual editor is active (e.g. as a post or Private Message) and operates on a maliciously crafted MyCode message. This may occur on pages where message content is pre-filled using a GET/POST parameter, or on reply pages where a previously saved malicious message is quoted. After upgrading MyBB to 1.8.24, make sure to update the version attribute in the `codebuttons` template for non-default themes to serve the latest version of the patched `jscripts/bbcodes_sceditor.js` file.
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Produtos afetados
MyBB · MyBB

Quer saber se a sua infraestrutura está exposta a isto?

Falar com a TrueHacking →
Referências
https://github.com/mybb/mybb/commit/37ad29dcd25489a37bdd89ebac761f22492558b0https://github.com/mybb/mybb/security/advisories/GHSA-37h7-vfv6-f8rjhttps://mybb.com/versions/1.8.24/