CVE-2026-45116
Analyse NVD en cours
MyBB is free and open source forum software. Prior to 1.8.40, the user datahandler does not properly validate checkbox and multiselect profile field types, resulting in stored JavaScript code injection. UserDataHandler::verify_profile_fields() only performs the specialized validation when is_array($profile_fields[$field]) is true. A non-array profile_fields[fidX] value instead of the expected profile_fields[fidX][] shape falls through to generic text handling and is stored without verification. The affected value is then rendered directly by member.php and inc/functions_post.php rather than processed by the MyCode parser. The uniquely identifying implementation details include inc/datahandlers/user.php. This issue is fixed in version 1.8.40.
Ce que ça veut dire
- Exposition
- Exploitable à distance depuis le réseau et avec un compte utilisateur ordinaire — mais seulement si un utilisateur ouvre un contenu piégé.
- Impact
- Un attaquant peut lire des données sensibles et modifier ou détruire des données. L’atteinte déborde du composant vulnérable vers d’autres parties du système.
- Faiblesse
- Du script fourni par l’attaquant s’exécute dans le navigateur des autres utilisateurs (XSS).
- Probabilité
- Le score EPSS reste bas : rien n’annonce une exploitation imminente, ce qui ne dispense pas de corriger.
À faireÀ intégrer au prochain cycle de correctifs.
Lecture automatique du vecteur CVSS, du type de faiblesse (CWE) et du score EPSS. La description technique ci-dessus reste celle publiée par le NIST, en anglais.