Der er identificeret flere sårbarheder i det åbne forumsoftware MyBB, som i kombination tillader eksekvering af PHP-kode på serveren. Problemerne opstår i versioner fra 1.8.16 til 1.8.25 og er blevet rettet i opdateringen MyBB 1.8.26.
Den første sårbarhed (CVE-2021-27889) tillader en ikke-privilegeret deltager i forumet at indsætte JavaScript-kode i indlæg, diskussioner og private beskeder. Forumet tillader tilføjelse af billeder, lister og multimediedata gennem specifikke tags, der konverteres til HTML-struktur. På grund af en fejl i koden til konvertering af sådanne tags konverteres konstruktionen med dobbelt URL [img]http://xyzsomething.com/image?)http://x.com/onerror=alert(1);//[/img] til <img src=">http://xyzsomething.com/image?)<a" href="»" http:="»»" x.com="»»" onerror="»alert(1);//"»" target="»_blank»" rel="»noopener»" class="»mycode_url»">
Den anden sårbarhed (CVE-2021-27890) giver mulighed for indsættelse af SQL-kommandoer, hvilket kan medføre eksekvering af ondsindet kode. Problemet opstår på grund af indsættelsen af $theme[‘templateset’] i SQL-forespørgselens krop uden tilstrækkelig filtrering og udførelse af komponenter ${…} gennem et eval-opkald. For eksempel kan man initiere eksekveringen af PHP-kommandoen passthru(‘ls’) ved behandling af et tema, der har en struktur som: <templateset>’) AND 1=0 UNION SELECT title, ‘${passthru(\’ls\’)}’ from mybb_templates — <\/templateset>
For at udnytte den anden sårbarhed kræves der en session med administratorrettigheder på forumet. For at få mulighed for at sende en anmodning som administrator kan en angriber udnytte den første sårbarhed og sende en privat besked til administratoren med JavaScript-kode, som ved visning vil udnytte den anden sårbarhed.
Kilde: opennet.ru
