CVE-2022-39265highCWE-74

CVE-2022-39265: falha de alta gravidade em mybb

Mail settings' command parameter injection in mybb

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar mybb

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

21Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 7.2epss 3.1%
Em resumo

O software de fórum MyBB permite que administradores com permissão para gerenciar configurações injetem comandos através dos parâmetros de configuração de e-mail, potencialmente levando à exposição de informações sensíveis ou execução remota de código no servidor.

Detalhe técnico

Vulnerabilidade de injeção de comando (CWE-74) no tratamento de parâmetros de configuração de e-mail do MyBB. Requer acesso ao Admin CP com permissão de gerenciamento de configurações. Um atacante pode injetar comandos arbitrários através da configuração mail_parameters, que são passados sem sanitização à função mail() do PHP, permitindo RCE ou exposição de informações dependendo da configuração do programa de e-mail e permissões de arquivo.

Resumo gerado e traduzido por IA a partir da descrição oficial.
MyBB is a free and open source forum software. The _Mail Settings_ → Additional Parameters for PHP's mail() function mail_parameters setting value, in connection with the configured mail program's options and behavior, may allow access to sensitive information and Remote Code Execution (RCE). The vulnerable module requires Admin CP access with the `_Can manage settings?_` permission and may depend on configured file permissions. MyBB 1.8.31 resolves this issue with the commit `0cd318136a`. Users are advised to upgrade. There are no known workarounds for this vulnerability.
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
Produtos afetados
mybb · mybb
CVEs relacionadas — mybb

No mesmo produto, das mais perigosas para as menos.

CVE-2022-24734HIGHRemote code execution in mybbEPSS 77.8%CVE-2026-45117CRITICALMyBB: Installer database configuration RCEEPSS 1.1%CVE-2025-48940HIGHMyBB's upgrade component vulnerable to local file inclusionEPSS 0.6%CVE-2024-23335MEDIUMBackups directory .htaccess deletion in. MyBBEPSS 0.6%CVE-2023-46251HIGHVisual editor persistent Cross-site Scripting (XSS) in MyBBEPSS 0.6%CVE-2026-45734MEDIUMMyBB: Default CAPTCHA missing invalidationEPSS 0.6%