Platform
php
Component
mybb-downloads
Opgelost in
2.0.4
CVE-2018-25248 beschrijft een persistente cross-site scripting (XSS) kwetsbaarheid in de MyBB Downloads Plugin. Deze kwetsbaarheid stelt reguliere leden in staat om kwaadaardige scripts te injecteren via het downloadtitelveld. De kwetsbaarheid treedt op wanneer beheerders downloads valideren in downloads.php. De kwetsbaarheid treft MyBB Downloads Plugin versies 2.0.3–2.0.3. Een fix is beschikbaar in versie 2.0.4.
Een succesvolle exploitatie van deze XSS-kwetsbaarheid kan leiden tot het stelen van cookies, het omleiden van gebruikers naar kwaadaardige websites en het uitvoeren van acties namens de gecompromitteerde beheerder. Aangezien de kwetsbaarheid zich in een downloadvalidatieproces bevindt, kan een aanvaller een download met schadelijke code uploaden die vervolgens wordt uitgevoerd wanneer een beheerder de download valideert. Dit kan leiden tot een compromis van de MyBB-installatie en mogelijk toegang tot gevoelige gegevens. De impact is aanzienlijk, aangezien beheerders vaak toegang hebben tot kritieke functies en data binnen de MyBB-omgeving.
Deze kwetsbaarheid is openbaar bekend en er zijn waarschijnlijk reeds proof-of-concept exploits beschikbaar. Er is geen informatie beschikbaar over actieve campagnes die deze specifieke kwetsbaarheid uitbuiten, maar de XSS-natuur ervan maakt het een aantrekkelijk doelwit voor aanvallers. De kwetsbaarheid werd publiekelijk bekendgemaakt op 2026-04-04.
MyBB forum administrators are at the highest risk, as they are the ones who validate downloads and are therefore exposed to the malicious script execution. Regular forum members are also at risk if they click on a malicious download link, although the impact is generally limited to their own browser session.
• php: Examine the downloads.php file for instances where the download title is echoed without proper sanitization. Search for patterns like <script> or javascript: within the title parameter in access logs.
grep -r 'javascript:' /path/to/mybb/downloads.php• generic web: Monitor access logs for requests to downloads.php with unusual or lengthy title parameters. Check response headers for signs of script execution.
curl -I https://example.com/downloads.php?title=<script>alert('XSS')</script>disclosure
Exploit Status
EPSS
0.03% (8% percentiel)
CISA SSVC
CVSS-vector
De primaire mitigatie is het upgraden van de MyBB Downloads Plugin naar versie 2.0.4 of hoger. Indien een upgrade momenteel niet mogelijk is, kan het handmatig valideren van alle nieuwe downloads door beheerders een tijdelijke workaround bieden. Controleer de downloadtitels op verdachte HTML-tags of JavaScript-code voordat u ze valideert. Implementeer een Web Application Firewall (WAF) met regels om XSS-pogingen te detecteren en te blokkeren, specifiek gericht op de downloadtitelparameter. Monitor de MyBB-logs op verdachte activiteiten, zoals ongebruikelijke URL's of pogingen om scripts uit te voeren.
Actualice el plugin MyBB Downloads a la versión 2.0.4 o posterior para mitigar la vulnerabilidad XSS. Esta actualización corrige la forma en que se manejan los títulos de descarga, evitando la inyección de código malicioso.
Kwetsbaarheidsanalyses en kritieke waarschuwingen direct in uw inbox.
CVE-2018-25248 is a cross-site scripting (XSS) vulnerability in MyBB Downloads Plugin versions 2.0.3–2.0.3, allowing attackers to inject malicious scripts through the download title field.
You are affected if you are running MyBB Downloads Plugin version 2.0.3–2.0.3. Upgrade to version 2.0.4 or later to mitigate the risk.
Upgrade the MyBB Downloads Plugin to version 2.0.4 or later. As a temporary workaround, carefully review all new downloads before validation.
While no active campaigns have been definitively linked, XSS vulnerabilities are frequently targeted, making this a potential risk.
Refer to the official MyBB security advisory for detailed information and updates regarding CVE-2018-25248.
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.