CVE-2020-15139
Açıklama
MyBB 1.8.24 sürümünden önceki sürümlerde, görsel düzenleyici için kullanılan özel MyCode (BBCode), HTML oluştururken girdileri uygun şekilde temizlemez ve bu durum DOM tabanlı bir XSS zafiyetine yol açar. Bu zayıflık, kurbanın görsel düzenleyicinin aktif olduğu (örneğin bir gönderi veya Özel Mesaj olarak) ve kötü niyetle hazırlanmış bir MyCode mesajı üzerinde işlem yaptığı bir sayfaya yönlendirilmesiyle istismar edilebilir. Bu durum, mesaj içeriğinin bir GET/POST parametresi kullanılarak önceden doldurulduğu sayfalarda veya daha önce kaydedilmiş kötü amaçlı bir mesajın alıntılandığı yanıt sayfalarında meydana gelebilir. MyBB 1.8.24 sürümüne yükselttikten sonra, yamalanmış `jscripts/bbcodes_sceditor.js` dosyasının güncel sürümünün sunulması için varsayılan olmayan temalardaki `codebuttons` şablonunda yer alan versiyon özniteliğini güncellediğinizden emin olun.
Nasıl düzeltilir
- mybb mybb1.8.24 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| mybb mybb | v < 1.8.24 | 1.8.24 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.