प्लेटफ़ॉर्म
php
घटक
mybb
में ठीक किया गया
1.8.40
CVE-2025-48940 MyBB फ़ोरम सॉफ़्टवेयर में एक स्थानीय फ़ाइल समावेशन (LFI) भेद्यता है। यह भेद्यता हमलावरों को MyBB के अपग्रेड घटक में उपयोगकर्ता इनपुट को ठीक से मान्य न करने का फायदा उठाकर फ़ाइलों को पढ़ने की अनुमति देती है। प्रभावित संस्करण 1.8.39 से पहले के सभी संस्करण हैं, और संस्करण 1.8.39 में इस समस्या का समाधान किया गया है।
यह भेद्यता हमलावरों को MyBB इंस्टॉलेशन निर्देशिका में स्थित संवेदनशील फ़ाइलों तक पहुंचने की अनुमति दे सकती है, जिसमें कॉन्फ़िगरेशन फ़ाइलें, डेटाबेस क्रेडेंशियल और अन्य महत्वपूर्ण जानकारी शामिल है। हमलावर इस जानकारी का उपयोग सिस्टम पर नियंत्रण हासिल करने, डेटा चोरी करने या अन्य दुर्भावनापूर्ण गतिविधियाँ करने के लिए कर सकते हैं। LFI भेद्यता का फायदा उठाने के लिए, इंस्टॉलर को अनलॉक किया जाना चाहिए (कोई install/lock फ़ाइल मौजूद नहीं है) और अपग्रेड स्क्रिप्ट सुलभ होनी चाहिए (फ़ोरम को install/index.php तक पहुंच के साथ फिर से स्थापित करके; जब फ़ोरम अभी तक स्थापित नहीं हुआ है; या हमलावर एक फ़ोरम व्यवस्थापक के रूप में प्रमाणित है)।
CVE-2025-48940 को अभी तक सक्रिय रूप से शोषण करते हुए नहीं देखा गया है, लेकिन LFI भेद्यता की प्रकृति के कारण, इसका शोषण किया जा सकता है। इस CVE को CISA KEV सूची में शामिल नहीं किया गया है। सार्वजनिक रूप से उपलब्ध प्रमाण-अवधारणा (PoC) अभी तक ज्ञात नहीं हैं, लेकिन भेद्यता की गंभीरता को देखते हुए, भविष्य में PoC का विकास संभव है।
Organizations running MyBB forum software, particularly those using older, unpatched versions (≤ 1.8.39), are at risk. Shared hosting environments where multiple users share the same server instance are also particularly vulnerable, as an attacker could potentially exploit this vulnerability on one user's forum and gain access to other users' data.
• php: Examine web server access logs for requests containing unusual parameters in the install/index.php URL. Look for patterns indicative of file path traversal attempts.
grep 'install/index.php[?&].*' /var/log/apache2/access.log• php: Check for the presence of the install/lock file. Its absence indicates a potential vulnerability.
ls -l /path/to/mybb/install/lock• generic web: Monitor file system integrity for unexpected modifications to sensitive files, particularly those related to MyBB configuration. • generic web: Review MyBB forum administrator accounts for suspicious login activity or unauthorized access attempts.
disclosure
एक्सप्लॉइट स्थिति
EPSS
0.14% (34% शतमक)
CISA SSVC
CVE-2025-48940 के लिए प्राथमिक शमन उपाय MyBB को संस्करण 1.8.39 में अपग्रेड करना है। यदि अपग्रेड करना संभव नहीं है, तो install/lock फ़ाइल बनाकर इंस्टॉलेशन निर्देशिका को सुरक्षित करने पर विचार करें ताकि अपग्रेड स्क्रिप्ट को अनधिकृत पहुंच से रोका जा सके। फ़ायरवॉल या वेब एप्लिकेशन फ़ायरवॉल (WAF) का उपयोग करके अपग्रेड स्क्रिप्ट तक पहुंच को प्रतिबंधित करना भी एक अस्थायी उपाय हो सकता है। अपग्रेड के बाद, यह सुनिश्चित करने के लिए कि भेद्यता का समाधान हो गया है, फ़ोरम को पुनः कॉन्फ़िगर करें और सभी महत्वपूर्ण फ़ाइलों की अखंडता की जांच करें।
Actualice MyBB a la versión 1.8.39 o superior. Esta versión corrige la vulnerabilidad de inclusión de archivos locales. Asegúrese de que el archivo `install/lock` esté presente para evitar el acceso no autorizado al instalador.
भेद्यता विश्लेषण और गंभीर अलर्ट सीधे आपके ईमेल में।
CVE-2025-48940 MyBB फ़ोरम सॉफ़्टवेयर में एक स्थानीय फ़ाइल समावेशन (LFI) भेद्यता है जो हमलावरों को संवेदनशील फ़ाइलों तक पहुंचने की अनुमति देती है।
यदि आप MyBB के संस्करण 1.8.39 से पहले का संस्करण चला रहे हैं, तो आप प्रभावित हैं।
CVE-2025-48940 को ठीक करने के लिए, MyBB को संस्करण 1.8.39 में अपग्रेड करें।
CVE-2025-48940 को अभी तक सक्रिय रूप से शोषण करते हुए नहीं देखा गया है, लेकिन इसका शोषण किया जा सकता है।
आप CVE-2025-48940 के लिए आधिकारिक MyBB सलाहकार MyBB वेबसाइट पर पा सकते हैं।
CVSS वेक्टर
अपनी डिपेंडेंसी फ़ाइल अपलोड करें और तुरंत जानें कि यह CVE और अन्य आपको प्रभावित करती हैं या नहीं।