mybb mybb 在命令中使用的特殊元素转义处理不恰当（命令注入）

CVE编号

CVE-2022-39265

利用情况

暂无

补丁情况

N/A

披露时间

2022-10-07

漏洞描述

MyBB is a free and open source forum software. The _Mail Settings_ ? Additional Parameters for PHP's mail() function mail_parameters setting value, in connection with the configured mail program's options and behavior, may allow access to sensitive information and Remote Code Execution (RCE). The vulnerable module requires Admin CP access with the `_Can manage settings?_` permission and may depend on configured file permissions. MyBB 1.8.31 resolves this issue with the commit `0cd318136a`. Users are advised to upgrade. There are no known workarounds for this vulnerability.

解决建议

建议您更新当前系统或软件至最新版，完成漏洞的修复。

参考链接
https://github.com/mybb/mybb/blob/mybb_1830/install/resources/settings.xml#L2...
https://github.com/mybb/mybb/commit/0cd318136a10b029bb5c8a8f6dddf39d87519797
https://github.com/mybb/mybb/security/advisories/GHSA-hxhm-rq9f-7xj7
https://mybb.com/versions/1.8.31/

受影响软件情况

#	类型	厂商	产品	版本	影响面
1
	运行在以下环境
	应用	mybb	mybb	*		Up to (excluding) 1.8.31

CVSS3评分 7.2

• 攻击路径 网络
• 攻击复杂度 低
• 权限要求 高
• 影响范围 未更改
• 用户交互 无
• 可用性 高
• 保密性 高
• 完整性 高

CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

CWE-ID	漏洞类型
CWE-74	输出中的特殊元素转义处理不恰当（注入）
CWE-77	在命令中使用的特殊元素转义处理不恰当（命令注入）

Exp相关链接

- avd.aliyun.com