MyBB Downloads Plugin 2.0.3 XSS persistant via downloads.php

L'impact principal de cette vulnérabilité réside dans la possibilité pour un attaquant d'exécuter du code JavaScript arbitraire dans le contexte du navigateur d'un administrateur MyBB. Cela peut permettre à l'attaquant de voler des cookies de session, de rediriger l'administrateur vers des sites malveillants, ou même de modifier le contenu du forum. Étant donné que l'administrateur a des privilèges élevés, l'attaquant pourrait potentiellement compromettre l'ensemble du forum et de ses données. Cette vulnérabilité est similaire à d'autres failles XSS qui ont permis le vol d'informations sensibles et la prise de contrôle de comptes.

MyBB forum administrators are at the highest risk, as they are the ones who validate downloads and are therefore exposed to the malicious script execution. Regular forum members are also at risk if they click on a malicious download link, although the impact is generally limited to their own browser session.

• php: Examine the downloads.php file for instances where the download title is echoed without proper sanitization. Search for patterns like <script> or javascript: within the title parameter in access logs.

grep -r 'javascript:' /path/to/mybb/downloads.php

• generic web: Monitor access logs for requests to downloads.php with unusual or lengthy title parameters. Check response headers for signs of script execution.

curl -I https://example.com/downloads.php?title=<script>alert('XSS')</script>

1. 2026-04-04Disclosure

   disclosure

1. Réservé2026-04-04
2. Publiée2026-04-04
3. Modifiée2026-04-06
4. EPSS mis à jour2026-04-12

La mitigation la plus efficace consiste à mettre à jour le plugin MyBB Downloads Plugin vers la version 2.0.4 ou supérieure, qui corrige cette vulnérabilité. Si la mise à jour n'est pas immédiatement possible, une solution temporaire consiste à désactiver temporairement la fonctionnalité de téléchargement ou à mettre en place une validation stricte du titre des téléchargements, en filtrant les caractères HTML et JavaScript potentiellement dangereux. Il est également recommandé de surveiller les journaux d'activité du forum pour détecter toute activité suspecte, comme des tentatives d'injection de code malveillant. Après la mise à jour, vérifiez que les téléchargements ne peuvent plus être injectés avec du code JavaScript.