Vulnerabilidad en MyBB (CVE-2025-48941)

MyBB es un software de foro gratuito y de código abierto. Antes de la versión 1.8.39, el componente de búsqueda no validaba correctamente los permisos, lo que permitía a los atacantes determinar la existencia de hilos ocultos (borradores, no aprobados o eliminados temporalmente) que contenían el texto especificado en el título. El estado de visibilidad (columna entera `mybb_threads.visible`) de los hilos no se valida en las consultas de búsqueda internas, cuyo resultado se utiliza para indicar si la búsqueda se ha realizado correctamente o no. Si bien MyBB valida los permisos al mostrar los resultados finales de la búsqueda, una operación de búsqueda que produce internamente al menos un resultado genera una respuesta de redirección (como una redirección HTTP o una página de mensaje de éxito con redirección retrasada, según la configuración). Por otro lado, una operación de búsqueda que no produce resultados internamente genera un mensaje correspondiente en la respuesta sin redirección. Esto permite al usuario determinar si existen hilos que coinciden con los parámetros de búsqueda de título, incluyendo borradores (visibles con un valor de -2), hilos eliminados temporalmente (visibles con un valor de -1) e hilos no aprobados (visibles con un valor de 0); además de mostrar hilos visibles (visibles con un valor de 1). Esta vulnerabilidad no afecta a otras capas de permisos. Para explotarla, el usuario debe tener acceso a la función de búsqueda y acceso general a los foros que contienen los hilos. La vulnerabilidad no expone el contenido de los mensajes. MyBB 1.8.39 soluciona este problema.