Índice
- Resumen ejecutivo
- Qué es la vulnerabilidad
- Productos y versiones vulnerables
- Impacto y riesgo
- Estado de explotación conocida
- Indicadores de compromiso (IOC)
- Cómo comprobar si estás afectado
- Mitigación y actualización
- Checklist para administradores
- Preguntas frecuentes
- Fuentes oficiales
Resumen ejecutivo
| Campo | Valor |
|---|---|
| CVE | CVE-2026-45118 |
| Fabricante | MyBB Group |
| Producto | MyBB |
| Fecha de publicación | 2026-08-18 |
| Severidad | CRÍTICA |
| CVSS | 9.3 (CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:N) |
| Puntuación de prioridad | 235 |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
CVE-2026-45118 es una vulnerabilidad de tipo redirección abierta combinada con inyección de código JavaScript reflejado en el módulo de contacto de MyBB. El fallo reside en que el parámetro HTTP from o la cabecera Referer no se validan correctamente antes de pasarlos a la función redirect(). Esto permite que un atacante construya un enlace malicioso que, al ser pulsado por un usuario autenticado, redirija a un sitio externo o ejecute código JavaScript en el contexto del foro.
La vulnerabilidad se clasifica como CWE-83: Improper Neutralization of Script in Attributes in a Web Page. El vector de ataque es remoto, no requiere autenticación previa, pero sí interacción del usuario (hacer clic en un enlace). El impacto es alto en confidencialidad e integridad, aunque no afecta a la disponibilidad.
Productos y versiones vulnerables
| Producto | Versión afectada | Estado |
|---|---|---|
| MyBB | < 1.8.40 | Afectado |
No se han identificado otras versiones o productos afectados según las fuentes consultadas.
Impacto y riesgo
Un atacante puede explotar esta vulnerabilidad para:
- Redirigir a los usuarios a sitios de phishing o descarga de malware.
- Ejecutar JavaScript en el navegador de la víctima, lo que permite robo de cookies, sesiones o modificación del contenido del foro.
- Suplantar al usuario para realizar acciones no autorizadas.
Dado que el ataque solo requiere que la víctima haga clic en un enlace (por ejemplo, en un correo o mensaje), el riesgo es alto para foros con usuarios activos. La puntuación CVSS 9.3 refleja la gravedad.
Estado de explotación conocida
No se ha informado de explotación activa en las fuentes consultadas. La vulnerabilidad fue publicada recientemente (18 de agosto de 2026) y ha sido seleccionada por su criticidad y puntuación, no por evidencia de explotación en curso.
Indicadores de compromiso (IOC)
No se han extraído IOC estructurados de las fuentes consultadas. No deben inventarse.
Cómo comprobar si estás afectado
Para determinar si tu instalación de MyBB es vulnerable:
- Accede al panel de administración de MyBB.
- Busca la versión instalada en la sección de información del sistema o en el archivo
inc/config.php. - Si la versión es anterior a 1.8.40, estás afectado.
No se dispone de comandos específicos proporcionados por las fuentes oficiales.
Mitigación y actualización
La única mitigación confirmada es actualizar a la versión MyBB 1.8.40. El fabricante ha publicado la corrección en los siguientes enlaces:
No se han publicado parches alternativos ni mitigaciones temporales.
Checklist para administradores
- ☐ Identificar todas las instalaciones de MyBB en tu organización.
- ☐ Verificar la versión actual de cada instalación.
- ☐ Si la versión es < 1.8.40, planificar la actualización inmediata.
- ☐ Realizar copia de seguridad completa de la base de datos y archivos antes de actualizar.
- ☐ Aplicar la actualización a MyBB 1.8.40 siguiendo las instrucciones oficiales.
- ☐ Probar la funcionalidad del foro tras la actualización.
- ☐ Revisar los registros de acceso en busca de posibles intentos de explotación.
- ☐ Informar a los usuarios sobre la actualización y los riesgos de hacer clic en enlaces sospechosos.
Preguntas frecuentes
¿Qué es CVE-2026-45118?
Es una vulnerabilidad crítica en MyBB que permite redirección abierta y ejecución de JavaScript reflejado en el módulo de contacto.
¿Qué versiones de MyBB están afectadas?
Todas las versiones anteriores a 1.8.40.
¿Se requiere autenticación para explotarla?
No, el ataque puede realizarse sin autenticación, pero requiere que la víctima haga clic en un enlace.
¿Hay evidencia de explotación activa?
No, según las fuentes consultadas no se ha reportado explotación activa.
¿Cómo puedo protegerme?
Actualizando a MyBB 1.8.40. No hay mitigaciones alternativas confirmadas.
¿Dónde puedo encontrar más información?
En las fuentes oficiales listadas a continuación.