MyBB Downloads Plugin 2.0.3 XSS persistente a través de downloads.php

Un atacante puede explotar esta vulnerabilidad para ejecutar código JavaScript arbitrario en el navegador de cualquier usuario que acceda a la página de validación de la descarga. Esto podría incluir el robo de cookies de sesión, la redirección a sitios web maliciosos, la modificación del contenido de la página o la inyección de código malicioso en el foro. El impacto es significativo, ya que afecta la integridad y confidencialidad de la información del foro y de sus usuarios. La persistencia del XSS significa que el script se almacena en la base de datos y se ejecuta cada vez que se accede a la página, ampliando el alcance del ataque.

MyBB forum administrators are at the highest risk, as they are the ones who validate downloads and are therefore exposed to the malicious script execution. Regular forum members are also at risk if they click on a malicious download link, although the impact is generally limited to their own browser session.

• php: Examine the downloads.php file for instances where the download title is echoed without proper sanitization. Search for patterns like <script> or javascript: within the title parameter in access logs.

grep -r 'javascript:' /path/to/mybb/downloads.php

• generic web: Monitor access logs for requests to downloads.php with unusual or lengthy title parameters. Check response headers for signs of script execution.

curl -I https://example.com/downloads.php?title=<script>alert('XSS')</script>

1. 2026-04-04Disclosure

   disclosure

1. Reservado2026-04-04
2. Publicada2026-04-04
3. Modificada2026-04-06
4. EPSS actualizado2026-04-12

La mitigación principal es actualizar el plugin MyBB Downloads Plugin a la versión 2.0.4 o superior, que corrige esta vulnerabilidad. Si la actualización no es inmediatamente posible, se recomienda implementar medidas de seguridad adicionales, como la validación y el saneamiento exhaustivos de todas las entradas del usuario, especialmente el campo del título de la descarga. Además, se pueden configurar reglas en un Web Application Firewall (WAF) para bloquear solicitudes que contengan código JavaScript sospechoso en el parámetro del título. Monitorear los registros del servidor en busca de patrones de inyección de código también puede ayudar a detectar y responder a posibles ataques.