21Vexday Risk Score
Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.
ssvc Trackcvss 8.8epss 1.3%
probabilidade de exploração
1.3%top 32% das CVEs
exploração observada
nãonenhuma fonte reporta
Em resumo
O editor visual do MyBB não escapa corretamente a formatação customizada BBCode, permitindo que atacantes injetem scripts maliciosos que são executados no navegador do usuário ao visualizar ou editar mensagens. Isso pode comprometer contas ou roubar dados.
Detalhe técnico
Vulnerabilidade XSS baseada em DOM no mecanismo de renderização de BBCode do editor visual do MyBB (CWE-79). Vetor de ataque envolve mensagens MyCode maliciosas entregues por parâmetros GET/POST ou respostas com citações; pré-condição requer que a vítima visite uma página com o editor visual ativo. Impacto inclui execução arbitrária de JavaScript no contexto do navegador da vítima, potencialmente permitindo roubo de sessão ou credenciais.
Resumo gerado e traduzido por IA a partir da descrição oficial.
In MyBB before version 1.8.24, the custom MyCode (BBCode) for the visual editor doesn't escape input properly when rendering HTML, resulting in a DOM-based XSS vulnerability. The weakness can be exploited by pointing a victim to a page where the visual editor is active (e.g. as a post or Private Message) and operates on a maliciously crafted MyCode message. This may occur on pages where message content is pre-filled using a GET/POST parameter, or on reply pages where a previously saved malicious message is quoted. After upgrading MyBB to 1.8.24, make sure to update the version attribute in the `codebuttons` template for non-default themes to serve the latest version of the patched `jscripts/bbcodes_sceditor.js` file.
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H