21Vexday Risk Score
Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.
ssvc Trackcvss 8.8epss 1.3%
probabilidad de explotación
1.3%top 32% de las CVE
explotación observada
noninguna fuente lo reporta
En resumen
El editor visual de MyBB no escapa correctamente el formato BBCode personalizado, permitiendo que atacantes inyecten scripts maliciosos que se ejecutan en el navegador del usuario al ver o editar mensajes. Esto puede comprometer cuentas o robar datos.
Detalle técnico
Vulnerabilidad XSS basada en DOM en el mecanismo de renderización de BBCode del editor visual de MyBB (CWE-79). Vector de ataque involucra mensajes MyCode maliciosos entregados mediante parámetros GET/POST o respuestas con citas; precondición requiere que la víctima visite una página con el editor visual activo. Impacto incluye ejecución arbitraria de JavaScript en el contexto del navegador de la víctima, potencialmente permitiendo secuestro de sesión o robo de credenciales.
Resumen generado y traducido por IA a partir de la descripción oficial.
In MyBB before version 1.8.24, the custom MyCode (BBCode) for the visual editor doesn't escape input properly when rendering HTML, resulting in a DOM-based XSS vulnerability. The weakness can be exploited by pointing a victim to a page where the visual editor is active (e.g. as a post or Private Message) and operates on a maliciously crafted MyCode message. This may occur on pages where message content is pre-filled using a GET/POST parameter, or on reply pages where a previously saved malicious message is quoted. After upgrading MyBB to 1.8.24, make sure to update the version attribute in the `codebuttons` template for non-default themes to serve the latest version of the patched `jscripts/bbcodes_sceditor.js` file.
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H