CVE-2026-73315
WysokieCVSS 8.6Streszczenie
XenForo przed wersją 2.3.13 zawiera podatność na podrabianie żądań po stronie serwera (SSRF) w obsłudze webhooków PayPal REST, która umożliwia nieuwierzytelnionym atakującym spowodowanie, że serwer wykona żądania HTTP do dowolnych miejsc docelowych poprzez dostarczenie spreparowanego URL certyfikatu w nagłówkach webhooka bez walidacji schematu, nazwy hosta lub listy dozwolonych.
Ocena ryzyka
Atakujący może uzyskać dostęp do wewnętrznych zasobów sieciowych, w tym do metadanych usług chmurowych, co może prowadzić do ujawnienia poświadczeń IAM lub umożliwić dalsze ataki na usługi wewnętrzne.
Rekomendacja
Zaleca się natychmiastowe zaktualizowanie XenForo do wersji 2.3.13 lub nowszej, która zawiera poprawkę tej luki.
Inne podatności w XenForo
Zobacz wszystkie- CVE-2026-74239Wysokie
XenForo przed wersją 2.3.13 zawiera podatność na przechodzenie poza katalog (path traversal) w importerze archiwów stylów na systemach Windows, która umożliwia uwierzytelnionym administratorom niebędącym superadministratorami z uprawnieniami do stylów zapisywanie dowolnych plików poza zamierzonym katalogiem ekstrakcji poprzez użycie sekwencji traversal z ukośnikami odwróconymi w nazwach członków ZIP.
- CVE-2026-73321Średnie
XenForo przed wersją 2.3.13 zawiera podatność na niekontrolowaną rekurencję w parserze BBCode, która pozwala uwierzytelnionym atakującym na trwałe odmówienie usługi poprzez opublikowanie posta z głęboko zagnieżdżonymi tagami BBCode.
- CVE-2026-73320Średnie
XenForo przed wersją 2.3.13 zawiera podatność na nieuwierzytelnione ujawnienie informacji, która pozwala atakującym bez logowania na pobieranie prywatnych rekordów unfurl poprzez podanie przewidywalnych identyfikatorów klucza głównego do punktu końcowego unfurl.
- CVE-2026-73319Średnie
XenForo przed wersją 2.3.13 zawiera podatność na cross-site scripting w dynamicznym handlerze przekierowań, która pozwala nieuwierzytelnionym atakującym na wykonanie dowolnego JavaScriptu w kontekście forum poprzez spreparowanie złośliwego URI javascript: z pominięciem walidacji hosta.
- CVE-2026-73318Niskie
XenForo przed wersją 2.3.13 zawiera podatność na brak autoryzacji w kontrolerze force-agreement, która pozwala każdemu administratorowi ACP na dostęp i wysyłanie formularzy force-agreement niezależnie od przypisanych uprawnień. Atakujący mogą obejść zadeklarowane uprawnienia opcji w konfiguracji nawigacji, aby zaktualizować globalny znacznik czasu ostatniej aktualizacji polityki, zmuszając wszystkich użytkowników do ponownej akceptacji polityki prywatności lub warunków korzystania z usługi.
- CVE-2026-73317Niskie
XenForo przed wersją 2.3.13 zawiera brak autoryzacji w mechanizmie odbudowy pamięci podręcznej ACP, co pozwala administratorom z ograniczonymi uprawnieniami (tylko rebuildCache) na wykonywanie nieautoryzowanych działań w kolejce zatwierdzania. Atakujący może wywołać zadanie kolejki zatwierdzania pod dowolną tożsamością użytkownika, aby zatwierdzić rejestracje bez wymaganych uprawnień, a dziennik moderacji przypisze działania do podszytego konta.
- CVE-2026-73316Wysokie
XenForo przed wersją 2.3.13 zawiera podatność na powtórne przetwarzanie płatności w dostawcy płatności PayPal REST, która umożliwia atakującym wielokrotne przetwarzanie tego samego ładunku webhooka poprzez wykorzystanie braku kontroli duplikatów identyfikatorów transakcji.
- CVE-2026-73314Wysokie
XenForo przed wersją 2.3.13 zawiera błąd logiczny w weryfikacji podpisu w obsłudze webhooków PayPal REST, który umożliwia nieuwierzytelnionym atakującym ominięcie walidacji podpisu płatności poprzez przesłanie żądania webhooka z nieobsługiwaną wartością nagłówka auth_algo.
- CVE-2026-73313Średnie
XenForo przed wersją 2.3.13 zawiera podatność na obejście wieloskładnikowego uwierzytelniania w dostawcy TFA passkey, która pozwala uwierzytelnionemu atakującemu na zalogowanie się jako inny użytkownik poprzez użycie własnego poświadczenia passkey podczas kroku asercji WebAuthn.
- CVE-2026-73312Wysokie
XenForo przed wersją 2.3.13 zawiera podatność na powtórne użycie tokena odświeżania, która umożliwia atakującym wielokrotne wykorzystanie tokena odświeżania poprzez wykorzystanie braku oznaczenia tokenów jako zużytych, gdy nadrzędny token dostępu wygasł.
Oryginalny opis (angielski, źródło NVD)
XenForo before 2.3.13 contains a server-side request forgery vulnerability in the PayPal REST webhook handler that allows unauthenticated attackers to cause the server to make outbound HTTP requests to arbitrary destinations by supplying a crafted certificate URL in webhook headers without scheme, hostname, or allowlist validation. Attackers can submit a crafted POST to the PayPal webhook callback endpoint to reach internal network resources including cloud instance metadata services, potentially disclosing IAM credentials or enabling secondary internal service exploitation.