立即修复！免费开源的MyBB 论坛软件被曝严重的 RCE 缺陷

流行的电子公告板软件 MyBB 中被曝两个严重漏洞，可被用于在无需访问权限账户的情况下执行远程代码。

这些漏洞由独立安全研究员 Simon Scannell 和 Carl Smith 发现，并在2月22日提交给 MyBB 团队，后者在3月10日推出更新（版本1.8.26）解决了这些漏洞。

MyBB 此前被称为 “MyBBoard”，最初名称为 ‘MyBulletinBoard”，是一款免费的开源论坛软件，用 PHP 和 MySQL 开发而成。

研究人员指出，第一个问题是嵌套的自动 URL 持久性 XSS 漏洞 (CVE-2021-27889)，源自 MyBB 在渲染过程中解析包含 URL 的信息的方式，因此可使任何低权限论坛用户将存储的 XSS payload 嵌入线程、帖子甚至私密信息中。

MyBB 在安全公告中指出，“最需最少的用户交互，即可利用该漏洞：将恶意构造的MyCode 信息保存在服务器上（如帖子或私密信息中）并将受害者指向内容被解析的页面中。”

第二个漏洞是存在于论坛主题管理器中的 SQL 注入漏洞 (CVE-2021-27890)，可导致经认证的 RCE 漏洞。当具有“可管理主题?”权限的论坛管理员导入恶意构造的主题，或设置主题的用户访问论坛页面时即可成功实施利用。

研究人员指出，“狡猾的攻击者可开发存储型 XSS 漏洞的 exploit，并将私密信息发送给 MyBB 主板的目标管理员。当管理员在受信任的论坛上打开私密信息时，exploit 就被触发。RCE 漏洞在后台自动利用并导致目标 MyBB 论坛遭接管。”

除了这两个漏洞外，版本 1.8.26 还解决了其它四个漏洞：

建议 MyBB 用户升级至最版本。