XSS möglich
Ein Sicherheits-Update für MyBB, früher MyBulletinBoard, bessert kritische Schwachstellen aus
Insgesamt drei Sicherheitslücken befinden sich in MyBB. Zwei davon lassen sich für XSS-Angriffe ausnutzen. Was die dritte tut, ist nicht bekannt gegeben.
Eine Schwachstelle hängt mit Avataren in der Freundesliste zusammen. Über diese Lücke ist keine weitere Information verfügbar. Eingaben via username werden nicht ausreichend überprüft, bevor diese an den Anwender zurückgegeben werden. Somit lässt sich beliebiger HTML- oder Script-Code in der Browser-Sitzung eines Anwenders ausführen.
Die Applikation erlaubt mittels bestimmter HTTP-Anfragen Aktionen, die nicht ausreichend überprüft werden. Besucht ein Anwender eine speziell präparierte Seite, könnte sich so zum Beispiel die Spracheinstellung umstellen lassen.
Die Lücken sind für Versionen vor 1.6.5 bestätigt. Administratoren sollten auf die neueste Ausgabe aktualisieren: blog.mybb.com, dev.mybb.com (jdo)