CVE-2026-45116
Açıklama
MyBB ücretsiz ve açık kaynaklı bir forum yazılımıdır. 1.8.40 sürümünden önce, kullanıcı veri işleyicisi (user datahandler), onay kutusu (checkbox) ve çoklu seçim (multiselect) profil alan türlerini düzgün şekilde doğrulamamakta, bu da saklanan JavaScript kodu enjeksiyonuna yol açmaktadır. UserDataHandler::verify_profile_fields() fonksiyonu, yalnızca is_array($profile_fields[$field]) değeri doğru olduğunda özel doğrulamayı gerçekleştirmektedir. Beklenen profile_fields[fidX][] yapısı yerine dizi olmayan bir profile_fields[fidX] değeri, genel metin işlemeye aktarılmakta ve doğrulama yapılmadan saklanmaktadır. Etkilenen değer, MyCode ayrıştırıcısı tarafından işlenmek yerine doğrudan member.php ve inc/functions_post.php tarafından işlenmektedir. Uygulamaya özgü tanımlayıcı ayrıntılar arasında inc/datahandlers/user.php yer almaktadır. Bu sorun 1.8.40 sürümünde giderilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| mybb mybb | < 1.8.40 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.