CVE-2018-25249MyBB My Arcade Plugin 1.3版本存在一个存储型跨站脚本（XSS）漏洞。由于该插件在处理街机游戏分数评论时未能正确过滤用户输入，经过身份认证的攻击者可以在评论字段中注入恶意的HTML和JavaScript代码。当其他用户（包括管理员）查看或编辑这些评论时，恶意脚本将在其浏览器中执行，从而导致账户劫持、会话窃取或其他恶意操作。
该漏洞属于存储型跨站脚本（Stored XSS）。MyBB My Arcade Plugin 1.3版本在处理用户通过街机游戏模块提交的分数评论时，后端代码缺乏对用户输入数据的严格校验与过滤机制。具体而言，应用程序未对HTML标签及JavaScript关键字进行转义处理。攻击者利用低权限账户登录论坛后，可以在提交游戏分数的“评论”字段中构造并发送恶意Payload（例如 <img src=x onerror=alert(1)>）。服务器将接收到的恶意数据直接存储在数据库中。随后，当管理员或其他授权用户访问包含该评论的页面（如查看排行榜或编辑评论）时，后端会从数据库读取数据并呈现给前端。浏览器解析该响应时，会执行攻击者注入的脚本代码。由于攻击者可以窃取管理员的Session ID，进而提升权限控制整个论坛系统，因此该漏洞具有较大的安全风险。