CVE-2018-25247MyBB Like Plugin 3.0.0 版本中存在一个跨站脚本（XSS）漏洞。该漏洞允许攻击者通过创建包含未经验证的主题内容的帖子或主题来注入恶意脚本。具体而言，攻击者可以构造包含脚本标签的帖子主题，当其他用户查看攻击者的个人资料时，这些恶意脚本会在显示“点赞的帖子”区域时被执行，因为该区域未对内容进行适当的清理和过滤。
该漏洞属于存储型跨站脚本攻击（Stored XSS）。其根本原因在于MyBB Like Plugin在处理帖子主题数据时缺乏严格的输入验证，并在用户个人资料页面的“点赞的帖子”展示模块中缺乏输出编码。攻击者无需管理员权限，即可注册账号并发布新帖子。在发布帖子时，攻击者在“主题”字段中注入JavaScript恶意代码（如`<script>alert(document.cookie)</script>`）。随后，攻击者将该帖子标记为“点赞”。当受害用户访问攻击者的个人资料页面时，系统会查询该用户点赞的帖子列表，并直接将帖子主题渲染到HTML页面中。由于未对特殊字符进行HTML实体编码，浏览器将恶意代码当作有效脚本执行，从而导致Cookie窃取、会话劫持或恶意操作。