CVE-2026-73311

XenForo przed wersją 2.3.13 zawiera podatność na przechodzenie poza katalog (path traversal) w importerze archiwów stylów na systemach Windows, która umożliwia uwierzytelnionym administratorom niebędącym superadministratorami z uprawnieniami do stylów zapisywanie dowolnych plików poza zamierzonym katalogiem ekstrakcji poprzez użycie sekwencji traversal z ukośnikami odwróconymi w nazwach członków ZIP.

XenForo przed wersją 2.3.13 zawiera podatność na niekontrolowaną rekurencję w parserze BBCode, która pozwala uwierzytelnionym atakującym na trwałe odmówienie usługi poprzez opublikowanie posta z głęboko zagnieżdżonymi tagami BBCode.

XenForo przed wersją 2.3.13 zawiera podatność na nieuwierzytelnione ujawnienie informacji, która pozwala atakującym bez logowania na pobieranie prywatnych rekordów unfurl poprzez podanie przewidywalnych identyfikatorów klucza głównego do punktu końcowego unfurl.

XenForo przed wersją 2.3.13 zawiera podatność na cross-site scripting w dynamicznym handlerze przekierowań, która pozwala nieuwierzytelnionym atakującym na wykonanie dowolnego JavaScriptu w kontekście forum poprzez spreparowanie złośliwego URI javascript: z pominięciem walidacji hosta.

XenForo przed wersją 2.3.13 zawiera podatność na brak autoryzacji w kontrolerze force-agreement, która pozwala każdemu administratorowi ACP na dostęp i wysyłanie formularzy force-agreement niezależnie od przypisanych uprawnień. Atakujący mogą obejść zadeklarowane uprawnienia opcji w konfiguracji nawigacji, aby zaktualizować globalny znacznik czasu ostatniej aktualizacji polityki, zmuszając wszystkich użytkowników do ponownej akceptacji polityki prywatności lub warunków korzystania z usługi.

XenForo przed wersją 2.3.13 zawiera brak autoryzacji w mechanizmie odbudowy pamięci podręcznej ACP, co pozwala administratorom z ograniczonymi uprawnieniami (tylko rebuildCache) na wykonywanie nieautoryzowanych działań w kolejce zatwierdzania. Atakujący może wywołać zadanie kolejki zatwierdzania pod dowolną tożsamością użytkownika, aby zatwierdzić rejestracje bez wymaganych uprawnień, a dziennik moderacji przypisze działania do podszytego konta.

XenForo przed wersją 2.3.13 zawiera podatność na powtórne przetwarzanie płatności w dostawcy płatności PayPal REST, która umożliwia atakującym wielokrotne przetwarzanie tego samego ładunku webhooka poprzez wykorzystanie braku kontroli duplikatów identyfikatorów transakcji.

XenForo przed wersją 2.3.13 zawiera podatność na podrabianie żądań po stronie serwera (SSRF) w obsłudze webhooków PayPal REST, która umożliwia nieuwierzytelnionym atakującym spowodowanie, że serwer wykona żądania HTTP do dowolnych miejsc docelowych poprzez dostarczenie spreparowanego URL certyfikatu w nagłówkach webhooka bez walidacji schematu, nazwy hosta lub listy dozwolonych.

XenForo przed wersją 2.3.13 zawiera błąd logiczny w weryfikacji podpisu w obsłudze webhooków PayPal REST, który umożliwia nieuwierzytelnionym atakującym ominięcie walidacji podpisu płatności poprzez przesłanie żądania webhooka z nieobsługiwaną wartością nagłówka auth_algo.

XenForo przed wersją 2.3.13 zawiera podatność na obejście wieloskładnikowego uwierzytelniania w dostawcy TFA passkey, która pozwala uwierzytelnionemu atakującemu na zalogowanie się jako inny użytkownik poprzez użycie własnego poświadczenia passkey podczas kroku asercji WebAuthn.