Plataforma
php
Componente
mybb
Corrigido em
1.8.40
A vulnerabilidade CVE-2025-48940 afeta o software de fórum MyBB em versões anteriores à 1.8.39. Esta falha de segurança permite a inclusão arbitrária de arquivos (LFI), possibilitando que um atacante acesse arquivos sensíveis no servidor. A exploração requer que o componente de atualização esteja desbloqueado e acessível, geralmente através da reinstalação do fórum ou acesso como administrador. A versão 1.8.39 corrige esta vulnerabilidade.
Um atacante que explore com sucesso esta vulnerabilidade pode ler arquivos arbitrários no servidor onde o MyBB está instalado. Isso pode incluir arquivos de configuração contendo senhas, chaves de API ou outras informações confidenciais. A inclusão arbitrária de arquivos pode também ser usada para executar código malicioso no servidor, dependendo das permissões do usuário MyBB e do conteúdo dos arquivos incluídos. Embora a exploração exija condições específicas (componente de atualização desbloqueado e acessível), o potencial impacto é significativo, especialmente em ambientes onde a segurança do servidor não é rigorosa.
A vulnerabilidade CVE-2025-48940 foi divulgada em 2 de junho de 2025. Não há indicações de que esta vulnerabilidade esteja sendo ativamente explorada em campanhas direcionadas, mas a facilidade de exploração e o potencial impacto tornam importante aplicar a correção o mais rápido possível. Não foi adicionada ao KEV (CISA Known Exploited Vulnerabilities) até o momento.
Organizations running MyBB forum software, particularly those using older, unpatched versions (≤ 1.8.39), are at risk. Shared hosting environments where multiple users share the same server instance are also particularly vulnerable, as an attacker could potentially exploit this vulnerability on one user's forum and gain access to other users' data.
• php: Examine web server access logs for requests containing unusual parameters in the install/index.php URL. Look for patterns indicative of file path traversal attempts.
grep 'install/index.php[?&].*' /var/log/apache2/access.log• php: Check for the presence of the install/lock file. Its absence indicates a potential vulnerability.
ls -l /path/to/mybb/install/lock• generic web: Monitor file system integrity for unexpected modifications to sensitive files, particularly those related to MyBB configuration. • generic web: Review MyBB forum administrator accounts for suspicious login activity or unauthorized access attempts.
disclosure
Status do Exploit
EPSS
0.14% (percentil 34%)
CISA SSVC
Vetor CVSS
A mitigação primária para CVE-2025-48940 é atualizar o MyBB para a versão 1.8.39 ou superior. Se a atualização imediata não for possível, certifique-se de que o componente de atualização esteja bloqueado removendo o arquivo install/lock. Além disso, restrinja o acesso ao script install/index.php através de regras de firewall ou WAF. Monitore os logs do servidor em busca de tentativas de acesso não autorizadas ao diretório install/. Após a atualização, confirme a correção verificando a versão do MyBB no painel de administração.
Actualice MyBB a la versión 1.8.39 o superior. Esta versión corrige la vulnerabilidad de inclusión de archivos locales. Asegúrese de que el archivo `install/lock` esté presente para evitar el acceso no autorizado al instalador.
Análise de vulnerabilidades e alertas críticos diretamente no seu e-mail.
CVE-2025-48940 is a Local File Inclusion (LFI) vulnerability in MyBB forum software versions 1.8.39 and earlier, allowing attackers to potentially read sensitive files.
You are affected if you are using MyBB version 1.8.39 or earlier. Upgrade to version 1.8.39 to resolve the vulnerability.
Upgrade MyBB to version 1.8.39. Ensure the install/lock file is present and restrict access to the install/index.php script.
As of now, there is no confirmed active exploitation, but the vulnerability is publicly known and could be targeted.
Refer to the official MyBB security advisory for detailed information and updates: [https://docs.mybb.com/security/security-advisories/](https://docs.mybb.com/security/security-advisories/)
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.