V bezplatném enginu pro vytváření webových fór um MyBB byly zjištěny některé zranitelnosti, které v kombinaci umožňují provádění PHP kódu na serveru. Problémy se objevují v verzích od 1.8.16 do 1.8.25 a byly odstraněny v aktualizaci MyBB 1.8.26.
První zranitelnost (CVE-2021-27889) umožňuje neprivilegovanému účastníkovi fóra vložit JavaScriptový kód do příspěvků, diskusí a soukromých zpráv. Fórum umožňuje přidávání obrázků, seznamů a multimediálních dat prostřednictvím speciálních tagů, které se převádějí na HTML markup. Kvůli chybě v kódu převodu takových tagů, konstrukce s dvojitou URL [img]http://xyzsomething.com/image?)http://x.com/onerror=alert(1);//[/img] se převede na <img src="»http://xyzsomething.com/image?)<a" href="»" http:="»»" x.com="»»" onerror="»alert(1);//"»" target="»_blank»" rel="»noopener»" class="»mycode_url»">
Druhá zranitelnost (CVE-2021-27890) umožňuje provedení SQL injekce a dosažení provedení vlastního kódu. Problém vzniká z nevhodného vložení $theme[‘templateset’] do těla SQL dotazu bez patřičného čištění a provádění komponent ${…} pomocí eval. Například lze spustit PHP příkaz passthru(‘ls’) při zpracování šablony s konstrukcí typu: <templateset>’) AND 1=0 UNION SELECT title, ‘${passthru(\’ls\’)}’ from mybb_templates — <\/templateset>
Pro zneužití druhé zranitelnosti je nutné mít sezení s oprávněním administrátora fóra. K získání možnosti odeslání žádosti s oprávněním administrátora může útočník využít první zranitelnost a odeslat administrátorovi soukromou zprávu s JavaScript kódem, při jejímž zobrazení bude zneužita druhá zranitelnost.
Zdroj: opennet.ru
