Удалённо эксплуатируемая уязвимость в форумном движке MyBB

Добавить ссылки
Материал из Викиновостей, свободного источника новостей

18 марта 2021 года

В свободном движке для создания web-форумов MyBB выявлено несколько уязвимостей, которые в сочетании позволяют организовать выполнение PHP-кода на сервере. Проблемы проявляются в выпусках с 1.8.16 по 1.8.25 и устранены в обновлении MyBB 1.8.26.

Первая уязвимость (CVE-2021-27889) позволяет непривилегированному участнику форума встроить JavaScript-код в публикации, обсуждения и приватные сообщения. Форум допускает добавления изображений, списков и мультимедийных данных через специальные теги, которые преобразуются в HTML-разметку. Из-за ошибки в коде преобразования подобных тегов, конструкция с двойным URL 


[img]http://xyzsomething.com/image?)http://x.com/onerror=alert(1);//[/img]

преобразуется в 


<img src="http://xyzsomething.com/image?)<a href=" http:="" x.com=""
onerror="alert(1);//"" target="_blank" rel="noopener" class="mycode_url">

Вторая уязвимость (CVE-2021-27890) даёт возможность осуществить подстановку SQL-команд и добиться выполнения своего кода. Проблема вызвана может быть эксплуатирована при обработке темы, содержащей конструкции вида (проблема возникает из-за подстановки $theme['templateset'] в тело SQL-запроса без должной чистки): 


<templateset>') AND 1=0 UNION SELECT title, '${passthru(\'ls\')}' from mybb_templates -- </templateset>

Для эксплуатации второй уязвимости необходимо использование сеанса с правами администратора форума. Для получения возможность отправки запроса с правами администратора атакующий может воспользоваться первой уязвимостью и отправить администратору приватное сообщение с JavaScript-кодом, при просмотре которого будет эксплуатирована вторая уязвимость.

Источники[править]


Creative Commons
Creative Commons
Эта статья содержит материалы из статьи «Удалённо эксплуатируемая уязвимость в форумном движке MyBB», опубликованной OpenNET и распространяющейся на условиях лицензии Creative Commons Attribution (CC BY) — указание автора, источник и лицензию.
Эта статья загружена автоматически ботом NewsBots и ещё не проверялась редакторами Викиновостей.
Любой участник может оформить статью: добавить иллюстрации, викифицировать, заполнить шаблоны и добавить категории.
Любой редактор может снять этот шаблон после оформления и проверки.

Комментарии[править]

Викиновости и Wikimedia Foundation не несут ответственности за любые материалы и точки зрения, находящиеся на странице и в разделе комментариев.



Источник — https://ru.wikinews.org/w/index.php?title=Удалённо_эксплуатируемая_уязвимость_в_форумном_движке_MyBB&oldid=10005076