MyBB 1.6.6 wurde veröffentlicht und steht ab sofort zum Herunterladen bereit. Es handelt sich um ein Sicherheitsupdate, welches 14 Sicherheitslücken mit niedrigem Risiko schließt. Zudem wurde ein Problem mit den Ankündigungen behoben.

Geschlossene Sicherheitslücken

• Import von nicht-CSS-Stylesheets (Themes)
  
• CSRF beim Admin-CP-Logout (1769)
  
• CSRF beim Löschen von gespeicherten Passwörtern (1824)
  
• CSRF beim Entfernen eines Freundes (1825)
  
• CSRF bei Beitrittsanfragen im ACP (1834)
  
• CSRF beim Aktivieren und Deaktiveren von Gruppenbeförderungen
  
• CSRF im ACP beim Bearbeiten von Usern (Avatar)
  
• CSRF beim Aktivieren von Usern
  
• XSS beim Verschieben von Terminen (Kalender)
  
• XSS beim Akismet-Plugin
  
• XSS bei abonnierten Foren (Benutzer-CP)
  
• XSS beim Moderatoren-Protokoll
  
• XSS in Bearbeiten von Beiträgen
  
• XSS beim Bearbeiten von Ankündigungen
  

• Außerdem werden die Ankündigungen nun wieder korrekt angezeigt (1781 und 1785).

MyBB 1.6.5 wurde veröffentlicht und steht ab sofort zum Herunterladen bereit. Es handelt sich um ein Feature-, Wartungs- und Sicherheitsupdate.

Was ist neu/geändert?
Es wurden 3 Sicherheitslücken und über 70 Fehler behoben, zudem wurden 10 Funktionen verbessert oder erweitert (Details weiter unten).

Geschlossene Sicherheitslücken:

• Fehlende XSS-Absicherung des Avatars auf der Freundesliste (kein Risiko)
  
• XSS-Lücke bei der Überprüfung des Benutzernamens via AJAX (kein Risiko)
  
• CSRF bei Sprachwahl möglich (niedriges Risiko)
  

In den MyBB-Downloads von MyBB.com wurde ein Schadcode entdeckt, der möglicherweise eine Sicherheitslücke verursachen könnte. Wie dieser Code dort hinkommen konnte, ist bisher unklar und wird noch untersucht. Dass hier jemand dem MyBB absichtlich Schaden zufügen wollte, liegt allerdings sehr nahe.

Betroffen sind nach bisherigen Erkenntnissen die Downloads von MyBB 1.6.4 von MyBB.com und ebenso die englischen Pakete von 1.6.4 bei MyBBoard.de. Die deutschen Sprachdateien und das eingedeutschte MyBB-Paket sind davon aber NICHT betroffen. Trotzdem raten wir allen dazu, eure Installation wie folgt zu überprüfen:

Variante 1

• Ladet das komplette Paket von MyBB 1.6.4 herunter
  
• Überschreibt die index.php mit der aus dem Paket
  
• Löscht den Ordner install von eurem Webspace
  

• Folgt der folgenden Anleitung:
    mybb_1604_patches.txt (Größe: 1,21 KB / Downloads: 881)
  
• Sollte die genannte Stelle nicht gefunden werden könne, besteht keine Gefahr.
  
• Löscht den Ordner install von eurem Webspace
  

Hallo,

zuerst begrüße ich alle Besucher von MyBBoard.de als neuer Betreiber. Die Website wurde erfolgreich auf meinen Server umgezogen, der mir freundlicherweise von Netcup zur Verfügung gestellt wird.

Gleichzeitig wurden nun auch die Plugins, Themes und Diskussionen von MyBBCoder.info importiert. Die Downloads findet ihr auf der überarbeiteten Website, die Themen wurden hier ins Forum integriert. Alle Benutzer, die in beiden Foren aktiv waren, wurden soweit möglich zusammengefügt. Sollte es dabei zu Fehlern oder anderen unerwünschten Änderungen gekommen sein, sendet mir bitte eine PN.

Ihr könnt euch bald auch noch über weitere Veränderungen freuen. Mehr wird noch nicht verraten.

Falls ihr noch Fehler findet oder andere Vorschläge habe, könnt ihr das in der Diskussion posten.

Hallo allerseits!

Über 6 Jahre ist es nun her, dass ich MyBBoard.de mit der Unterstützung von anderen ins Leben gerufen habe. Damals war mir noch nicht klar, ob das Projekt ein Erfolg werden würde. Heute kann ich sagen: In über 6 Jahren hat die Webseite viele Veränderungen erfahren und die Community ist stetig gewachsen. Natürlich hat das nicht alles reibungslos funktioniert, aber insgesamt bin ich mit der Entwicklung doch sehr zufrieden.

Schon damals war mir klar, dass ich das Projekt nicht für immer führen werde. Mit dem Ende meines Studiums und dem Eintritt ins Berufsleben habe ich bereits mehrere Aufgaben auf der englischen Seite abgebeben und auch meine Aktivitäten in der deutschen Community sind deutlich zurückgegangen. Vor einiger Zeit habe ich nach gründlicher Überlegung beschlossen, die Leitung der Seite abzugeben. Viele geplante Arbeiten für die Seite sind liegen geblieben und das ist schade. Das bedeutet aber nicht, dass ich aus der Welt bin.

Stefan wird das Projekt übernehmen. Er ist schon sehr lange dabei und hat viel Erfahrung mit der Software und dem Support. Die anderen Team-Mitglieder bleiben weiterhin erhalten, so dass sich im Grunde nicht so viel ändert. Ich gehe davon aus, dass ihn auch die Community unterstützen wird.

Ich möchte an dieser Stelle noch einmal allen danken, die zur Community beigetragen haben und dies noch tun. Natürlich möchte ich mich auch bei allen Mitgliedern des Teams für die Unterstützung bedanken. Ohne sie wäre die Seite nicht, was sie heute ist.

Ein Dankeschön geht auch an die netcup GmbH, die in Zukunft das Hosting der Seite übernehmen wird.

In diesem Sinne wünsche ich allen Beteiligten alles Gute für die Zukunft und auch wenn es sich so anhört, möchte ich noch einmal sagen, dass ich nicht verschwinde.

Es wird in Kürze sicher noch die ein oder andere Ankündigung mit spannenden Neuerungen geben.

MyBB 1.6.4 wurde veröffentlicht und steht ab sofort zum Herunterladen bereit. Es handelt sich um ein Feature-, Wartungs- und Sicherheitsupdate.

Was ist neu/geändert?
Es wurde über 100 Fehler behoben, die restlichen gemeldeten Fehler werden später behoben, damit die Updates nicht zu umfangreich werden.

Zur Vereinfachung des Supports können alle Plugins nun durch eine Einstellung vorübergehend abgeschaltet werden, zudem wird nun erkannt, wenn das Portal in index.php ungenannt wurde.

Die behobenen Sicherheitsprobleme sind mit niedrigen Risiko klassifiziert. Allerdings besteht hohes Risiko, wenn es jemandem gelingt ins Admin-CP einzudringen. Deshalb wurden verschiedene Variablen in den Templates gesperrt. Beim Versuch diese in ein Template einzufügen oder ein Theme mit potenziell gefährlichem Inhalt zu importieren erscheint nun eine Fehlermeldung. Informationen für Theme-Ersteller und Plugin-Autoren finden sich im englischen Wiki: http://wiki.mybb.com/index.php/1.6.4

Weiterhin gibt es einige Performance-Verbesserungen, unter anderem werden die Präfixe nun in einem Cache gespeichert und es gibt eine Einstellung für das Breadcrumb-Dropdown-Menü.

Informationen zum Update, zu Templateänderungen und zu Änderungen in den Sprachdateien befinden sich in den nächsten Beiträgen.

Für die Aktualisierung auf MyBB 1.6.4 ist die Ausführung des Upgradeskripts erforderlich, da es Änderungen in der Datenbankstruktur, in den Sprachstrings oder in den Templates gibt.

Melden von Sicherheitsproblemen
Solltest du ein Sicherheitsproblem im Code des MyBB finden, poste dieses bitte NICHT im Forum. Melde das Problem stattdessen über das Kontaktformular oder per PN an ein Mitglied des Support-Teams.

MyBB 1.6.3 und 1.4.16 wurden veröffentlicht und stehen ab sofort zum Herunterladen bereit. Es handelt sich um Sicherheitsupdates, welche eine Sicherheitslücke mit hohem und eine mit geringem Risiko schließen.

Wir empfehlen jedem, sein Forum schnellstmöglich zu aktualisieren!

Geschlossene Sicherheitslücken

• SQL-Injektion in showthread.php (wurde intern gemeldet)
  
• CSRF in misc.php?action=markread (#1487)
  

• SQL-Error durch manipulierte Suchbegriffe (#1537)
  
• Javascript-Probleme im IE9 (#1501) (nur MyBB 1.6.3)
  
• Kompatibilität zu MySQL 5.5 (#1379) (nur MyBB 1.6.3)
  

Hallo allerseits,

wie der ein oder andere sicher bemerkt hat, sind wir seit knapp einer Woche leider nicht so zuverlässig erreichbar wie es sonst der Fall ist. Erst letzte Nacht waren wir lange Zeit offline.

Mir ist bewusst, dass wir im Moment Probleme mit der Verfügbarkeit haben, und ich bitte diese zu entschuldigen! Wir arbeiten daran, denn uns stört es auch.

In diesem Zuge muss ich leider eine weitere Downtime ankündigen. Voraussichtlich diese Nacht wird unser Hoster eine Hardwareprüfung des Servers durchführen. Diese dauert mehrere Stunden und der Server wird während dieser Zeit offline sein.

Ich hoffe, dass sich die Probleme in Kürze beheben lassen. Sollte es ein Update geben, werde ich dieses hier bekanntgeben.

Vor 8 Monaten wurde MyBB 1.6 veröffentlicht, weshalb wir den Support für MyBB 1.4.x von offizieller Seite am 1. Juli 2011 einstellen werden.

Danach wird es keinen Support mehr geben, es werden keine Sicherheitsupdates mehr veröffentlicht und die Support-Foren für MyBB 1.4 werden geschlossen.

Allen, die noch MyBB 1.4.x einsetzen, empfehlen wir bis zum 1. Juli auf die aktuelle Version zu aktualisieren.

Sinnvolle Informationen für Umsteiger:
Downloads
Anleitung zum Upgrade
Hinweise zur Datenbanksicherung

MyBB 1.6.2 ist ein Sicherheitsupdate für die 1.6-Serie und behebt 2 Sicherheitslücken mit mittlerem Risiko und ein Sicherheitsproblem mit niedrigem Risiko.

MyBB 1.4.15 ist ein Sicherheitsupdate für die 1.4-Serie, die von den selben Problemen betroffen ist.

Wir empfehlen das Update möglichst schnell einzuspielen.

Was ist neu/geändert?

• Issue #1464
  
• Issue #1460
  
• Issue #1422 (Die Sicherheitslücke kann nur bei aktiviertem HTML ausgenutzt werden.)