CVE-2022-24734

MyBB pulsuz və açıq mənbəli forum proqram təminatıdır. Təsirə məruz qalan versiyalarda Admin CP-nin Parametrlərin idarə edilməsi modulu daxiletmə və yeniləmə zamanı parametr növlərini düzgün şəkildə yoxlamır, bu da dəstəklənən `php` növündə olan və _Change Settings_ səhifələrində icra olunan PHP kodu ilə parametrlərin əlavə edilməsini mümkün edir. Bu, uzaqdan kodun icrası (RCE) boşluğuna səbəb olur. Həssas modul Admin CP-də `Can manage settings?` icazəsi ilə giriş tələb edir. Administratorlara standart olmayan parametrləri əlavə etməyə, redaktə etməyə və silməyə imkan verən MyBB-nin Parametrlər modulu, parametr növünü və onun seçimlərini müəyyən edən və yeni sətir simvolu (\n) ilə ayrılan seçimlər kodu sətirində ($options_code; mybb_settings.optionscode verilənlər bazası sütunu) parametr məlumatlarını saxlayır. MyBB 1.2.0 versiyasında `php` parametr növü üçün dəstək əlavə edilmişdir ki, burada seçimlər kodunun qalan hissəsi Change Settings səhifələrində icra olunan PHP kodudur (plaginlər və daxili istifadə üçün rezerv olunmuşdur). MyBB 1.8.30 bu problemi həll edir. Məlum olan heç bir alternativ həll yolu yoxdur.