CVE-2026-73313
ŚrednieCVSS 6.8Streszczenie
XenForo przed wersją 2.3.13 zawiera podatność na obejście wieloskładnikowego uwierzytelniania w dostawcy TFA passkey, która pozwala uwierzytelnionemu atakującemu na zalogowanie się jako inny użytkownik poprzez użycie własnego poświadczenia passkey podczas kroku asercji WebAuthn.
Ocena ryzyka
Atakujący, znając hasło ofiary, może obejść MFA i uzyskać pełny dostęp do konta ofiary, w tym do panelu administracyjnego, co może prowadzić do przejęcia forum i naruszenia danych.
Rekomendacja
Zaktualizuj XenForo do wersji 2.3.13 lub nowszej, która zawiera poprawkę weryfikacji, czy poświadczenie passkey należy do użytkownika, którego logowanie jest w toku.
Inne podatności w XenForo
Zobacz wszystkie- CVE-2026-74239Wysokie
XenForo przed wersją 2.3.13 zawiera podatność na przechodzenie poza katalog (path traversal) w importerze archiwów stylów na systemach Windows, która umożliwia uwierzytelnionym administratorom niebędącym superadministratorami z uprawnieniami do stylów zapisywanie dowolnych plików poza zamierzonym katalogiem ekstrakcji poprzez użycie sekwencji traversal z ukośnikami odwróconymi w nazwach członków ZIP.
- CVE-2026-73321Średnie
XenForo przed wersją 2.3.13 zawiera podatność na niekontrolowaną rekurencję w parserze BBCode, która pozwala uwierzytelnionym atakującym na trwałe odmówienie usługi poprzez opublikowanie posta z głęboko zagnieżdżonymi tagami BBCode.
- CVE-2026-73320Średnie
XenForo przed wersją 2.3.13 zawiera podatność na nieuwierzytelnione ujawnienie informacji, która pozwala atakującym bez logowania na pobieranie prywatnych rekordów unfurl poprzez podanie przewidywalnych identyfikatorów klucza głównego do punktu końcowego unfurl.
- CVE-2026-73319Średnie
XenForo przed wersją 2.3.13 zawiera podatność na cross-site scripting w dynamicznym handlerze przekierowań, która pozwala nieuwierzytelnionym atakującym na wykonanie dowolnego JavaScriptu w kontekście forum poprzez spreparowanie złośliwego URI javascript: z pominięciem walidacji hosta.
- CVE-2026-73318Niskie
XenForo przed wersją 2.3.13 zawiera podatność na brak autoryzacji w kontrolerze force-agreement, która pozwala każdemu administratorowi ACP na dostęp i wysyłanie formularzy force-agreement niezależnie od przypisanych uprawnień. Atakujący mogą obejść zadeklarowane uprawnienia opcji w konfiguracji nawigacji, aby zaktualizować globalny znacznik czasu ostatniej aktualizacji polityki, zmuszając wszystkich użytkowników do ponownej akceptacji polityki prywatności lub warunków korzystania z usługi.
- CVE-2026-73317Niskie
XenForo przed wersją 2.3.13 zawiera brak autoryzacji w mechanizmie odbudowy pamięci podręcznej ACP, co pozwala administratorom z ograniczonymi uprawnieniami (tylko rebuildCache) na wykonywanie nieautoryzowanych działań w kolejce zatwierdzania. Atakujący może wywołać zadanie kolejki zatwierdzania pod dowolną tożsamością użytkownika, aby zatwierdzić rejestracje bez wymaganych uprawnień, a dziennik moderacji przypisze działania do podszytego konta.
- CVE-2026-73316Wysokie
XenForo przed wersją 2.3.13 zawiera podatność na powtórne przetwarzanie płatności w dostawcy płatności PayPal REST, która umożliwia atakującym wielokrotne przetwarzanie tego samego ładunku webhooka poprzez wykorzystanie braku kontroli duplikatów identyfikatorów transakcji.
- CVE-2026-73315Wysokie
XenForo przed wersją 2.3.13 zawiera podatność na podrabianie żądań po stronie serwera (SSRF) w obsłudze webhooków PayPal REST, która umożliwia nieuwierzytelnionym atakującym spowodowanie, że serwer wykona żądania HTTP do dowolnych miejsc docelowych poprzez dostarczenie spreparowanego URL certyfikatu w nagłówkach webhooka bez walidacji schematu, nazwy hosta lub listy dozwolonych.
- CVE-2026-73314Wysokie
XenForo przed wersją 2.3.13 zawiera błąd logiczny w weryfikacji podpisu w obsłudze webhooków PayPal REST, który umożliwia nieuwierzytelnionym atakującym ominięcie walidacji podpisu płatności poprzez przesłanie żądania webhooka z nieobsługiwaną wartością nagłówka auth_algo.
- CVE-2026-73312Wysokie
XenForo przed wersją 2.3.13 zawiera podatność na powtórne użycie tokena odświeżania, która umożliwia atakującym wielokrotne wykorzystanie tokena odświeżania poprzez wykorzystanie braku oznaczenia tokenów jako zużytych, gdy nadrzędny token dostępu wygasł.
Oryginalny opis (angielski, źródło NVD)
XenForo before 2.3.13 contains a multi-factor authentication bypass vulnerability in the passkey TFA provider that allows an authenticated attacker to complete login as another user by submitting their own registered passkey credential during the WebAuthn assertion step. The passkey verification path performs a global credential lookup without validating that the matched credential belongs to the user whose login is pending, enabling an attacker who knows a target account's password to sign the challenge with their own passkey and bypass multi-factor authentication on both public forum and ACP login paths.