According to its version number, the MyBB install hosted on the remote web server is affected by multiple vulnerabilities :

  - A cross-site scripting flaw exists in misc.php due to     improper validation of input when generating a small     popup list of smilies. This allows a remote attacker to     create a specially crafted request to execute arbitrary     script code in a user's browser session within the trust     relationship between the browser and server.
    CVE-2013-7275)

  - A cross-site scripting vulnerability exists in the     mycode_parse_video() function in the     inc/class_parser.php script due to improper validation     of Yahoo video URLs before returning them to a user.
    This allows a remote attacker to create a specially     crafted request to execute arbitrary script code in a     user's browser session within the trust relationship     between the browser and server. (CVE-2013-7288)

  - A SQL injection vulnerability exists in the     admin/modules/config/smilies.php script due to improper     sanitization of user-supplied input when mass     editing smilies. A remote attacker can exploit this     issue to manipulate SQL queries, resulting in the     disclosure of sensitive information and modification of     data.

  - A SQL injection vulnerability exists in the     akismet_admin() function in inc/plugins/akismet.php due     to improper sanitization of user-supplied input when     deleting posts. A remote attacker can exploit this issue     to manipulate SQL queries, resulting in the disclosure     of sensitive information and modification of data.

Note that Nessus has not tested for these issues but has instead relied on the application's self-reported version number.

そのバージョン番号によると、リモート Web サーバーでホスティングされている MyBB のインストールは、複数の脆弱性の影響を受けます。

  - スマイリーの小さなポップアップリストを生成する際の不適切な入力の検証により、misc.php 内にクロスサイトスクリプティングの欠陥が存在します。これにより、リモートの攻撃者は、特別に細工されたリクエストを作成して、ブラウザとサーバー間の信頼関係において、ユーザーのブラウザセッションで任意のスクリプトコードを実行することができます。
    CVE-2013-7275）

  - Yahoo 動画 URL がユーザーへ返す前に適切に検証されないために、inc/class_parser.php スクリプトの mycode_parse_video() 関数内にクロスサイトスクリプティングの脆弱性が存在します。
    これにより、リモートの攻撃者は、特別に細工されたリクエストを作成して、ブラウザとサーバー間の信頼関係において、ユーザーのブラウザセッションで任意のスクリプトコードを実行することができます。（CVE-2013-7288）

  - 不適切なユーザー指定の入力のサニタイズにより、admin/modules/config/smilies.php スクリプト内に SQL インジェクションの脆弱性が存在します。リモートの攻撃者はこの問題を悪用して、SQL クエリを操作できるため、機密情報の漏洩やデータの変更という結果になります。

  - 投稿を削除する際の不適切なユーザー指定の入力のサニタイズにより、inc/plugins/akismet.php にある akismet_admin() 関数内に SQL インジェクションの脆弱性が存在します。リモートの攻撃者はこの問題を悪用して、SQL クエリを操作できるため、機密情報の漏洩やデータの変更という結果になります。

Nessus はこれらの問題をテストしていませんが、その代わりにアプリケーションの自己報告されたバージョン番号に依存していることに、注意してください。

根据其版本号，安装在远程 Web 服务器上的 MyBB 受到多种漏洞的影响：

  - misc.php 中存在一个跨站脚本缺陷，原因是生成小表情符弹出列表时未正确验证输入。该漏洞允许远程攻击者创建特别构建的请求，在浏览器与服务器之间的信任关系中的用户浏览器会话中执行任意脚本代码。
    CVE-2013-7275)

  - inc/class_parser.php 中的 mycode_parse_video() 函数中存在一个跨站脚本漏洞，原因是 Yahoo 视频 URL 在被返回给用户前未正确验证。
    该漏洞允许远程攻击者创建特别构建的请求，在浏览器与服务器之间的信任关系中的用户浏览器会话中执行任意脚本代码。(CVE-2013-7288)

  - admin/modules/config/smilies.php 脚本中存在一个 SQL 注入漏洞，原因是批量编辑表情符时未正确审查用户提供的输入。远程攻击者可利用此问题操纵 SQL 查询，从而导致敏感信息泄露和修改数据。

  - inc/plugins/akismet.php 中的 akismet_admin() 函数中存在一个 SQL 注入漏洞，原因是删除帖子时未正确审查用户提供的输入。远程攻击者可利用此问题操纵 SQL 查询，从而导致敏感信息泄露和修改数据。

请注意，Nessus 并未测试这些问题，而是依赖于应用程序自我报告的版本号。

根據其版本號碼，遠端 Web 伺服器上託管的 MyBB 安裝會受到多個弱點影響：

  - misc.php 中存在一個跨網站指令碼瑕疵，這是因為產生小的微笑表情符號快顯清單時不當驗證輸入所導致。這會讓遠端攻擊者建立特製的要求，對處於瀏覽器與伺服器之間信任關係內的使用者瀏覽器工作階段，執行任意指令碼。
    CVE-2013-7275)

  - inc/class_parser.php 指令碼的 mycode_parse_video() 函式中存在一個跨網站指令碼弱點，這是因為將 Yahoo 視訊 URL 傳回給使用者之前不當驗證該 URL 所導致。
    遠端攻擊者可藉此建立特別建構的要求，在使用者的瀏覽器工作階段 (處於瀏覽器與伺服器之間的信任關係內) 中執行任意指令碼。(CVE-2013-7288)

  - admin/modules/config/smilies.php 指令碼中存在一個 SQL 插入弱點，這是因為大量編輯微笑表情符號時不當清理使用者提供的輸入所導致。遠端攻擊者可惡意利用此問題操控 SQL 查詢，進而導致洩漏敏感資訊及修改資料。

  - inc/plugins/akismet.php 的 akismet_admin() 函式中存在一個 SQL 插入弱點，這是因為刪除貼文時不當清理使用者提供的輸入所導致。遠端攻擊者可惡意利用此問題操控 SQL 查詢，進而導致洩漏敏感資訊及修改資料。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

The remote web server hosts MyBulletinBoard, a web-based discussion board application. Versions of MyBB 1.6.x prior to 1.6.12 are potentially affected by multiple issues : 

  - A SQL injection flaw exists in the admin/modules/config/smilies.php script which does not properly sanitize user-supplied input when mass editing smilies. This could allow a remote attacker to inject or manipulate SQL queries, allowing for the manipulation or disclosure of arbitrary data.

  - A SQL injection flaw exists in the akismet_admin() function of inc/plugins/akismet.php where user-supplied input when deleting posts is not properly sanitized. This could allow a remote attacker to inject or manipulate SQL queries, allowing for the manipulation or disclosure of arbitrary data.

  - A cross-site scripting flaw exists in the mycode_parse_video() function of the inc/class_parser.php, which does not validate Yahoo video URLs before returning them to a user. This could allow a remote attacker to create a specially crafted request that would execute arbitrary script code in a user's browser session within the trust relationship between the browser and server.

  - A cross-site scripting flaw exists in misc.php because it does not validate input when generating a small popup list of smilies. This could allow a remote attacker to create a specially crafted request that would execute arbitrary script code in a user's browser session within the trust relationship between the browser and server. (CVE-2013-7275)

ID	名前	製品	ファミリー	公開日	更新日	深刻度
72906	MyBB < 1.6.12 Multiple Vulnerabilities	Nessus	CGI abuses	2014/3/10	2024/6/5	medium
72906	MyBB < 1.6.12 複数の脆弱性	Nessus	CGI abuses	2014/3/10	2024/6/5	medium
72906	MyBB < 1.6.12 多种漏洞	Nessus	CGI abuses	2014/3/10	2024/6/5	medium
72906	MyBB < 1.6.12 多個弱點	Nessus	CGI abuses	2014/3/10	2024/6/5	medium
8628	MyBB < 1.6.12 Multiple Vulnerabilities	Nessus Network Monitor	CGI	2015/1/19	2019/3/6	high

検出

プラグインの検索

medium

medium

medium

medium

high