MyBB Downloads Plugin 2.0.3 downloads.php 存在持久型跨站脚本漏洞

该 XSS 漏洞的潜在影响非常严重。攻击者可以利用它来执行任意 JavaScript 代码，从而窃取用户凭据、修改页面内容、重定向用户到恶意网站，甚至完全控制受感染的 MyBB 论坛。由于管理员验证下载时脚本会执行，因此该漏洞的攻击面比一般的 XSS 漏洞更广。攻击者可以伪造下载链接，诱骗管理员点击，从而触发恶意脚本的执行。如果论坛拥有大量用户，该漏洞的影响范围将非常广泛，可能导致大规模的数据泄露和系统破坏。

MyBB forum administrators are at the highest risk, as they are the ones who validate downloads and are therefore exposed to the malicious script execution. Regular forum members are also at risk if they click on a malicious download link, although the impact is generally limited to their own browser session.

• php: Examine the downloads.php file for instances where the download title is echoed without proper sanitization. Search for patterns like <script> or javascript: within the title parameter in access logs.

grep -r 'javascript:' /path/to/mybb/downloads.php

• generic web: Monitor access logs for requests to downloads.php with unusual or lengthy title parameters. Check response headers for signs of script execution.

curl -I https://example.com/downloads.php?title=<script>alert('XSS')</script>

1. 2026-04-04Disclosure

   disclosure

1. 已保留2026-04-04
2. 发布日期2026-04-04
3. 修改日期2026-04-06
4. EPSS 更新日期2026-04-12

最有效的缓解措施是立即将 MyBB Downloads Plugin 升级至 2.0.4 或更高版本。如果无法立即升级，可以考虑以下临时缓解措施：严格审查所有新提交的下载，特别是下载标题，以确保其中不包含任何可疑的 HTML 或 JavaScript 代码。实施输入验证和输出编码，以防止恶意脚本注入。配置 Web 应用防火墙 (WAF) 以检测和阻止 XSS 攻击。监控论坛日志，查找可疑活动，例如大量下载提交或异常的 JavaScript 执行。