Дистанционно експлоатируема уязвимост в форумния движок MyBB.

В свободния движок за създаване на уеб форуми MyBB са открити няколко уязвимости, които в комбинация позволяват изпълнение на PHP код на сървъра. Проблемите се проявяват в версиите от 1.8.16 до 1.8.25 и са отстранени с актуализацията MyBB 1.8.26.

Първата уязвимост (CVE-2021-27889) позволява на непривилегирован участник във форума да вгради JavaScript код в публикации, дискусии и лични съобщения. Форумът позволява добавянето на изображения, списъци и мултимедийни данни чрез специални тагове, които се преобразуват в HTML структура. Поради грешка в кода за преобразуване на подобни тагове, конструкцията с двойно URL [img]http://xyzsomething.com/image?)http://x.com/onerror=alert(1);//[\/img] се преобразува в <img src="»http://xyzsomething.com/image?)&lt;a" href="»" http:="»»" x.com="»»" onerror="»alert(1);//&quot;»" target="»_blank»" rel="»noopener»" class="»mycode_url»">

Втората уязвимост (CVE-2021-27890) позволява извършване на подмяна на SQL команди и изпълнение на собствен код. Проблемът възниква поради подмяната на $theme[‘templateset’] в тялото на SQL заявката без необходимото почистване и изпълнението на компонентите ${…} чрез извикване на eval. Например, може да се организира стартиране на PHP команда passthru(‘ls’) при обработка на темата с конструкция от вида: ’) AND 1=0 UNION SELECT title, ‘${passthru(\’ls\’)}’ от mybb_templates —

За експлоатация на втората уязвимост е необходимо да се използва сесия с права на администратор на форума. За да получи възможност за изпращане на заявка с права на администратор, атакуващият може да се възползва от първата уязвимост и да изпрати на администратора частно съобщение с JavaScript код, при прегледа на което ще бъде експлоатирана втората уязвимост.

Източник: opennet.ru