MyBB 1.8.40 does not restrict which usergroup a limited Admin Control Panel user may assign when...
Summary
MyBB 1.8.40 does not restrict which usergroup a limited Admin Control Panel user may assign when...
Original description
The description as published by the source.
MyBB 1.8.40 does not restrict which usergroup a limited Admin Control Panel user may assign when creating or editing users; the user module offers the Administrators group (gid 4) and its datahandler's verify_usergroup() unconditionally returns true. An admin holding only the delegated user-management permission can assign the Administrators group to an account and escalate to the full Administrator permission set.
Source: NIST National Vulnerability Database NVD GitHub Advisory
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
MyBB 1.8.40は、制限された管理パネルユーザーがユーザーグループを管理できるという欠陥があります。これにより、限られた権限しか持たない管理者が、他のユーザーを完全な管理者権限のあるグループに割り当てることが可能になります。結果として権限のエスカレーションが発生します。
MyBB 1.8.40における制限された管理パネルユーザーがユーザーグループを制限なく割り当て可能な欠陥。
MyBB 1.8.40のユーザーモジュールのverify_usergroup関数。
通常のユーザーが管理者権限を得ることができるため、重大な権限のエスカレーションが可能。
ユーザーモジュールのverify_usergroup関数を修正し、適切なユーザーグループの検証を導入する。
限定された管理パネルユーザーの権限を見直し、不必要なユーザー管理権限を外す。
現在の権限設定を確認し、限定された管理パネルユーザーが管理者権限を割り当てていないかを確認する。
References
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web nvd.nist.gov
- web github.com