In de gratis forumsoftware MyBB zijn verschillende kwetsbaarheden ontdekt die samen het mogelijk maken om PHP-code op de server uit te voeren. De problemen doen zich voor in versies van 1.8.16 tot 1.8.25 en zijn verholpen in de update MyBB 1.8.26.
De eerste kwetsbaarheid (CVE-2021-27889) staat een niet-priviliged deelnemer van het forum in staat om JavaScript-code in berichten, discussies en privéberichten in te voegen. Het forum staat het toevoegen van afbeeldingen, lijsten en multimediagegevens toe via speciale tags, die worden omgezet in HTML-opmaak. Vanwege een fout in de code die deze tags omzet, wordt de constructie met dubbele URL [img]http://xyzsomething.com/image?)http://x.com/onerror=alert(1);//[/img] omgezet in <img src="»http://xyzsomething.com/image?)<a" href="»" http:="»»" x.com="»»" onerror="»alert(1);//"»" target="»_blank»" rel="»noopener»" class="»mycode_url»">
De tweede kwetsbaarheid (CVE-2021-27890) maakt het mogelijk om SQL-commando's in te voegen en eigen code uit te voeren. Het probleem ontstaan door de invoeging van $theme[‘templateset’] in het lichaam van de SQL-query zonder de juiste schoonmaak, en het uitvoeren van componenten ${…} via een eval-aanroep. Bijvoorbeeld, het is mogelijk om de PHP-opdracht passthru(‘ls’) te starten tijdens het verwerken van een thema met de volgende constructie: ’) AND 1=0 UNION SELECT title, ‘${passthru(\’ls\’)}’ from mybb_templates —
Voor het misbruiken van de tweede kwetsbaarheid is een sessie met beheerdersrechten op het forum vereist. Om de mogelijkheid te verkrijgen om een verzoek met beheerdersrechten te versturen, kan de aanvaller gebruikmaken van de eerste kwetsbaarheid en een privébericht met JavaScript-code naar de beheerder sturen, waarbij de tweede kwetsbaarheid wordt misbruikt tijdens het bekijken.
Bron: opennet.ru
