CVE-2020-15139highCWE-79

CVE-2020-15139: falha de alta gravidade em MyBB

XSS in MyBB

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar mybb

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

21Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 8.8epss 1.3%
Em resumo

O editor visual do MyBB não escapa corretamente a formatação customizada BBCode, permitindo que atacantes injetem scripts maliciosos que são executados no navegador do usuário ao visualizar ou editar mensagens. Isso pode comprometer contas ou roubar dados.

Detalhe técnico

Vulnerabilidade XSS baseada em DOM no mecanismo de renderização de BBCode do editor visual do MyBB (CWE-79). Vetor de ataque envolve mensagens MyCode maliciosas entregues por parâmetros GET/POST ou respostas com citações; pré-condição requer que a vítima visite uma página com o editor visual ativo. Impacto inclui execução arbitrária de JavaScript no contexto do navegador da vítima, potencialmente permitindo roubo de sessão ou credenciais.

Resumo gerado e traduzido por IA a partir da descrição oficial.
In MyBB before version 1.8.24, the custom MyCode (BBCode) for the visual editor doesn't escape input properly when rendering HTML, resulting in a DOM-based XSS vulnerability. The weakness can be exploited by pointing a victim to a page where the visual editor is active (e.g. as a post or Private Message) and operates on a maliciously crafted MyCode message. This may occur on pages where message content is pre-filled using a GET/POST parameter, or on reply pages where a previously saved malicious message is quoted. After upgrading MyBB to 1.8.24, make sure to update the version attribute in the `codebuttons` template for non-default themes to serve the latest version of the patched `jscripts/bbcodes_sceditor.js` file.
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Produtos afetados
MyBB · MyBB