Se han identificado varias vulnerabilidades en el motor de foros web MyBB, las cuales, en combinación, permiten la ejecución de código PHP en el servidor. Los problemas se presentan en las versiones desde 1.8.16 hasta 1.8.25 y han sido corregidos en la actualización MyBB 1.8.26.
La primera vulnerabilidad (CVE-2021-27889) permite a un participante no privilegiado del foro incrustar código JavaScript en publicaciones, discusiones y mensajes privados. El foro permite la adición de imágenes, listas y datos multimedia a través de etiquetas especiales que se convierten en markup HTML. Debido a un error en el código de conversión de dichas etiquetas, la construcción con doble URL [img]http://xyzsomething.com/image?)http://x.com/onerror=alert(1);//[/img] se convierte en <img src="»http://xyzsomething.com/image?)<a" href="»" http:="»»" x.com="»»" onerror="»alert(1);//"»" target="»_blank»" rel="»noopener»" class="»mycode_url»">
La segunda vulnerabilidad (CVE-2021-27890) permite la inyección de comandos SQL y la ejecución de código arbitrario. El problema ocurre debido a la inyección de $theme[‘templateset’] en el cuerpo de la consulta SQL sin la debida limpieza y la ejecución de componentes ${…} a través de la llamada a eval. Por ejemplo, se puede lograr la ejecución de un comando PHP passthru(‘ls’) al procesar un tema de diseño con la construcción: <templateset>’) AND 1=0 UNION SELECT title, ‘${passthru(\’ls\’)}’ from mybb_templates — <\/templateset>
Para explotar la segunda vulnerabilidad, es necesario utilizar una sesión con derechos de administrador del foro. Para obtener la capacidad de enviar una solicitud con privilegios de administrador, el atacante puede aprovechar la primera vulnerabilidad y enviar al administrador un mensaje privado con código JavaScript, cuya visualización explotará la segunda vulnerabilidad.
Fuente: opennet.ru
