CVE-2023-53979highCWE-22

CVE-2023-53979: falha de alta gravidade em MyBB

MyBB 1.8.32 Authenticated Remote Code Execution via Chained Vulnerabilities

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar mybb

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

21Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 8.6epss 0.8%
Em resumo

O MyBB 1.8.32 permite que administradores autenticados façam upload de arquivos maliciosos contornando restrições de envio, e depois executem código prejudicial no servidor. O problema ocorre porque o software não valida corretamente os uploads e permite alterar configurações que controlam onde os arquivos são armazenados.

Detalhe técnico

Um administrador autenticado pode encadear múltiplas vulnerabilidades para alcançar RCE: modificar configurações de diretório de upload, fazer upload de um arquivo de imagem com PHP embutido que contorna validação de avatar (CWE-22 path traversal), e executar código arbitrário pela interface de edição de configurações de idioma. Requer privilégios de administrador, mas resulta em execução de código completa no sistema.

Resumo gerado e traduzido por IA a partir da descrição oficial.
MyBB 1.8.32 contains a chained vulnerability that allows authenticated administrators to bypass avatar upload restrictions and execute arbitrary code. Attackers can modify upload path settings, upload a malicious PHP-embedded image file, and execute commands through the language configuration editing interface.
CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
Produtos afetados
Mybb · MyBB