CVE-2026-73309
WysokieCVSS 7.4Streszczenie
XenForo przed wersją 2.3.13 zawiera podatność na ominięcie uwierzytelniania w punkcie końcowym tokena OAuth2. Nieuwierzytelniony atakujący może uzyskać ważne pary tokenów, wysyłając puste wartości parametrów client_secret i code_verifier, wykorzystując logikę oceny prawdziwości w PHP, która traktuje puste stringi jako fałsz i pomija walidację sekretu klienta oraz weryfikatora PKCE.
Ocena ryzyka
Atakujący może przejąć sesje użytkowników i uzyskać nieautoryzowany dostęp do kont, co może prowadzić do kradzieży danych lub przejęcia kontroli nad kontami.
Rekomendacja
Zaleca się natychmiastową aktualizację XenForo do wersji 2.3.13 lub nowszej, która zawiera poprawkę eliminującą tę podatność.
Inne podatności w XenForo
Zobacz wszystkie- CVE-2026-74239Wysokie
XenForo przed wersją 2.3.13 zawiera podatność na przechodzenie poza katalog (path traversal) w importerze archiwów stylów na systemach Windows, która umożliwia uwierzytelnionym administratorom niebędącym superadministratorami z uprawnieniami do stylów zapisywanie dowolnych plików poza zamierzonym katalogiem ekstrakcji poprzez użycie sekwencji traversal z ukośnikami odwróconymi w nazwach członków ZIP.
- CVE-2026-73321Średnie
XenForo przed wersją 2.3.13 zawiera podatność na niekontrolowaną rekurencję w parserze BBCode, która pozwala uwierzytelnionym atakującym na trwałe odmówienie usługi poprzez opublikowanie posta z głęboko zagnieżdżonymi tagami BBCode.
- CVE-2026-73320Średnie
XenForo przed wersją 2.3.13 zawiera podatność na nieuwierzytelnione ujawnienie informacji, która pozwala atakującym bez logowania na pobieranie prywatnych rekordów unfurl poprzez podanie przewidywalnych identyfikatorów klucza głównego do punktu końcowego unfurl.
- CVE-2026-73319Średnie
XenForo przed wersją 2.3.13 zawiera podatność na cross-site scripting w dynamicznym handlerze przekierowań, która pozwala nieuwierzytelnionym atakującym na wykonanie dowolnego JavaScriptu w kontekście forum poprzez spreparowanie złośliwego URI javascript: z pominięciem walidacji hosta.
- CVE-2026-73318Niskie
XenForo przed wersją 2.3.13 zawiera podatność na brak autoryzacji w kontrolerze force-agreement, która pozwala każdemu administratorowi ACP na dostęp i wysyłanie formularzy force-agreement niezależnie od przypisanych uprawnień. Atakujący mogą obejść zadeklarowane uprawnienia opcji w konfiguracji nawigacji, aby zaktualizować globalny znacznik czasu ostatniej aktualizacji polityki, zmuszając wszystkich użytkowników do ponownej akceptacji polityki prywatności lub warunków korzystania z usługi.
- CVE-2026-73317Niskie
XenForo przed wersją 2.3.13 zawiera brak autoryzacji w mechanizmie odbudowy pamięci podręcznej ACP, co pozwala administratorom z ograniczonymi uprawnieniami (tylko rebuildCache) na wykonywanie nieautoryzowanych działań w kolejce zatwierdzania. Atakujący może wywołać zadanie kolejki zatwierdzania pod dowolną tożsamością użytkownika, aby zatwierdzić rejestracje bez wymaganych uprawnień, a dziennik moderacji przypisze działania do podszytego konta.
- CVE-2026-73316Wysokie
XenForo przed wersją 2.3.13 zawiera podatność na powtórne przetwarzanie płatności w dostawcy płatności PayPal REST, która umożliwia atakującym wielokrotne przetwarzanie tego samego ładunku webhooka poprzez wykorzystanie braku kontroli duplikatów identyfikatorów transakcji.
- CVE-2026-73315Wysokie
XenForo przed wersją 2.3.13 zawiera podatność na podrabianie żądań po stronie serwera (SSRF) w obsłudze webhooków PayPal REST, która umożliwia nieuwierzytelnionym atakującym spowodowanie, że serwer wykona żądania HTTP do dowolnych miejsc docelowych poprzez dostarczenie spreparowanego URL certyfikatu w nagłówkach webhooka bez walidacji schematu, nazwy hosta lub listy dozwolonych.
- CVE-2026-73314Wysokie
XenForo przed wersją 2.3.13 zawiera błąd logiczny w weryfikacji podpisu w obsłudze webhooków PayPal REST, który umożliwia nieuwierzytelnionym atakującym ominięcie walidacji podpisu płatności poprzez przesłanie żądania webhooka z nieobsługiwaną wartością nagłówka auth_algo.
- CVE-2026-73313Średnie
XenForo przed wersją 2.3.13 zawiera podatność na obejście wieloskładnikowego uwierzytelniania w dostawcy TFA passkey, która pozwala uwierzytelnionemu atakującemu na zalogowanie się jako inny użytkownik poprzez użycie własnego poświadczenia passkey podczas kroku asercji WebAuthn.
Oryginalny opis (angielski, źródło NVD)
XenForo before 2.3.13 contains an authentication bypass vulnerability in the OAuth2 token endpoint that allows unauthenticated attackers to obtain valid token pairs by submitting empty values for client_secret and code_verifier parameters. Attackers can exploit PHP truthy evaluation logic, which treats empty strings as false and skips client secret validation and PKCE code verifier validation, to exchange a valid authorization code for a token pair without proving client identity or holding the PKCE commitment.