MyBB may disclosure unviewable threads' titles in searches
13Vexday Risk Score
Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.
ssvc Trackcvss 5.3epss 0.3%
probabilidad de explotación
0.3%top 78% de las CVE
explotación observada
noninguna fuente lo reporta
En resumen
La búsqueda de MyBB revela si existen temas ocultos (borradores, no aprobados o eliminados) mediante respuestas diferentes para búsquedas encontradas versus no encontradas, permitiendo que atacantes descubran títulos de temas que no deberían ver.
Detalle técnico
El componente de búsqueda no valida correctamente los permisos de visibilidad de temas en consultas internas, utilizando respuestas de redirección/éxito para coincidencias y mensajes de error para no-coincidencias; esta fuga de información permite que usuarios con acceso a búsqueda enumeren temas ocultos (visible=-2, -1 o 0) por título, aunque el contenido de los mensajes permanece protegido.
Resumen generado y traducido por IA a partir de la descripción oficial.
MyBB is free and open source forum software. Prior to version 1.8.39, the search component does not validate permissions correctly, which allows attackers to determine the existence of hidden (draft, unapproved, or soft-deleted) threads containing specified text in the title. The visibility state (`mybb_threads.visible` integer column) of threads is not validated in internal search queries, whose result is used to output a general success or failure of the search. While MyBB validates permissions when displaying the final search results, a search operation that internally produces at least one result outputs a redirect response (as a HTTP redirect, or a success message page with delayed redirect, depending on configuration). On the other hand, a search operation that internally produces no results outputs a corresponding message in the response without a redirect. This allows a user to determine whether threads matching title search parameters exist, including draft threads (`visible` with a value of `-2`), soft-deleted threads (`visible` with a value of `-1`), and unapproved threads (`visible` with a value of `0`); in addition to displaying generally visible threads (`visible` with a value of `1`). This vulnerability does not affect other layers of permissions. In order to exploit the vulnerability, the user must have access to the search functionality, and general access to forums containing the thread(s). The vulnerability does not expose the message content of posts. MyBB 1.8.39 resolves this issue.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
Productos afectados
mybb · mybb