ZeroBox Vulnerability Database

MyBB的口令重置实现中存在邮件注入漏洞，远程攻击者可以通过简单的URL控制就可以向BCC:邮件头中注入代码，将保密的口令重置邮件发送到BCC:头所指向的邮箱。

在MailHandler类的set_common_header()方式中，以下代码负责向所有发出的邮件（包括口令重置邮件）中添加一些常用的头：

     $this->headers .= "Message-ID: <{$msg_id}>{$this->delimiter}";
     $this->headers .= "Content-Transfer-Encoding: 8bit{$this->delimiter}";
     $this->headers .= "X-Priority: 3{$this->delimiter}";
     $this->headers .= "X-MSMail-Priority: Normal{$this->delimiter}";
     $this->headers .= "X-Mailer: MyBB{$this->delimiter}";
     if(defined("IN_ADMINCP"))
     {
         …
     }
     $this->headers .= "X-MyBB-Script:
{$http_host}{$_SERVER[‘PHP_SELF’]}{$this->delimiter}";
     $this->headers .= "MIME-Version: 1.0{$this->delimiter}";
    
上述代码向邮件中所添加的X-MyBB-Script头中包含有$_SERVER[‘PHP_SELF’]变量的内容。PHP_SELF不但包含有文档根目录相关的路径，还包括有Apache PATH_INFO等扩展名，因此可以被恶意用户控制。通过调用以下MyBB PHP脚本：

MyBB
—-
目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：