В феврале 2021 года независимые ИБ-исследователи Саймон Сканнелл (Simon Scannell) и Карл Смит (Carl Smith) выявили критические уязвимости в коде форумного движка MyBB (MyBulletinBoard). Объединение этих проблем могло привести к удаленному исполнению произвольного кода. На прошлой неделе разработчики MyBB исправили баги, выпустив версию 1.8.26.
По словам исследователей, первая проблема представляет собой устойчивую XSS-уязвимость (CVE-2021-27889) и связана с тем, как MyBB парсит сообщения, содержащие URL-адреса, в процессе рендеринга. Проблема позволяет любому непривилегированному пользователю форума встроить полезную нагрузку в треды, посты и даже личные сообщения.
«Уязвимость требует минимального взаимодействия с пользователем, сохраняя на сервере вредоносное сообщение MyCode (например, в виде поста или личного сообщения) и указывая жертве на страницу, где парсится контент», — объясняют разработчики.
Вторая уязвимость была связана с SQL-инъекцией (CVE-2021-27890) в диспетчер тем форума и могла привести к удаленному выполнению произвольного кода (RCE). Успешно эксплуатировать баг мог администратор форума с правами «Can manage themes?», если он импортировал вредоносную тему, или когда пользователь, для которого задана тема, посещал страницу форума.
«Хитрый злоумышленник мог создать эксплоит для устойчивой XSS-уязвимости, а затем отправить личное сообщение администратору целевого форума на базе MyBB. Как только администратор открывал это личное сообщение на собственном форуме, срабатывал эксплоит. RCE-уязвимость автоматически срабатывала в фоновом режиме, что приводило к полному захвату целевого форума», — пишут следователи.
