CVE-2021-43032

CVE-2021-43032 In XenForo ≤ 2.2.7, a threat actor with access to the admin panel can save cross-site scripting payloads in any function within the application that accepts HTML code. A payload placed within the 'Advertising' functionality will execute globally on the client side, allowing for...

CVE-2026-73312

CVE-2026-73312 XenForo 2.3.13 より前のバージョンでは、親アクセストークンの有効期限が切れた後も OAuth2 リフレッシュトークンを再利用できる状態にしておくことができます。 何が起こるか XenForo は意図的に、リフレッシュトークンを短命のアクセストークンよりも長く有効にしています。ローテーション中に新しいトークンファミリーを作成し、その後、親アクセストークンの失効処理プログラムに古いファミリーの消費を要求します。その失効処理プログラムは、アクセストークンの有効期限が切れている場合、関連するリフレッシュトークンを失効させる前に早期に戻ります。...

CVE-2026-73321

CVE-2026-73321 XenForo 2.3.13 より前のバージョンでは、深くネストされた BBCode によって PHP ワーカーが枯渇する可能性があります。 検証した内容 公開されている editor/to-html ルートは、ゲストが提供した BBCode を XenForo の再帰的パーサーおよびレンダラーに渡します。この処理の前に、生の長さやネスト数の制限は適用されません。通常のメッセージ準備パスも、最終的なメッセージ長の検証前に BBCode を処理します。 認可された XenForo 2.3.12 ビルド 2031270 のインストール環境において、5,000...

CVE-2026-73309

CVE-2026-73309 XenForo 2.3.13 より前のバージョンでは、空文字列がトークンエンドポイントに到達した場合に、OAuth2 のクライアントシークレットと PKCE の検証をスキップできます。 何が起こるか エンドポイントは clientsecret と codeverifier キーが存在するかどうかをチェックし、その PHP 文字列値が truthy の場合にのみ比較を実行します。したがって、空の値は存在チェックを満たしますが、比較はバイパスされます。 パブリック OAuth...

CVE-2026-73310

CVE-2026-73310 XenForo 2.3.13 より前のバージョンでは、OAuth2 認可コードを、そのコードが発行された際に使用されたリダイレクト URI にバインドしていません。 何が起こるか トークンエンドポイントで、XenForo は送信された redirecturi がクライアントの許可リスト内にあるかどうかをチェックします。認可リクエストに保存されたリダイレクト URI と値を比較することはありません。コールバック A と B を持つクライアントは、A を通じて認可し、B を主張しながらコードを引き換えることができます。...

CVE-2026-73311

CVE-2026-73311 XenForo 2.3.13 より前のバージョンでは、OAuth2 認可コードを複数回引き換えることができます。 発生する事象 認可コードグラントはコードを読み込み、その時間ベースの有効性を検証し、トークンペアを作成します。成功パスでは、コードの削除、消費済みマーク、またはアトミックなワンタイム更新は行われません。したがって、同じ有効な交換を再生すると、同じユーザーとスコープに対して独立したアクセス/リフレッシュトークンファミリーが作成されます。...

CVE-2026-73313

CVE-2026-73313 XenForo 2.3.13 より前のバージョンでは、別のユーザーが所有するパスキーを使用して、あるユーザーの2段階ログインを完了させることができます。 何が起こるか パスキーマネージャーは、アサーションで提供された認証情報IDを使用してグローバル検索を実行し、その認証情報のWebAuthn署名が正しいことを検証します。その後、TFAプロバイダーは、認証情報の所有者がパスワードログインが保留中のユーザーと一致するかどうかを確認せずに、結果をブール値に変換します。...

CVE-2026-73314

CVE-2026-73314 XenForo 2.3.13 より前のバージョンでは、PayPal REST ウェブフックがサポートされていない署名アルゴリズムを指定した場合に、検証を通過させてしまう（fail open）脆弱性があります。 発生する事象 ウェブフックハンドラーは PAYPAL-AUTH-ALGO を小さな許可リストを通してマッピングします。値が不明な場合、マッピングされたアルゴリズムは null になります。リクエストを拒否する代わりに、検証パスはアルゴリズムが利用できないことをログに記録し、成功を返します。証明書の取得と opensslverify...

CVE-2026-73315

CVE-2026-73315 2.3.13 より前の XenForo は、PayPal REST ウェブフックが提供する証明書 URL を、その宛先を制限せずに取得します。 何が起こるか コールバックハンドラは PAYPAL-CERT-URL を XenForo の信頼済み HTTP リーダーに渡します。これは PayPal のホスト名を要求せず、ループバックやプライベートネットワークの宛先もブロックしません。したがって、リモートからのリクエストにより、XenForo ホストに攻撃者が選択した URL を取得させることができます。 私は、許可された XenForo 2.3.12...

CVE-2026-73316

CVE-2026-73316 XenForo 2.3.13 より前のバージョンでは、同じ有効な PayPal REST Webhook が複数回処理されます。 何が起こるか PayPal REST プロバイダーは XenForo の基本トランザクションバリデーターをオーバーライドしますが、重複トランザクションログの検索を省略しています。データベースインデックスも一意ではありません。そのため、1つのトランザクション ID を持つバイト単位で同一かつ有効に署名された2つの配信が、購入完了処理を2回実行する可能性があります。 私はこれを XenForo 2.3.12（ビルド...

CVE-2026-73318

CVE-2026-73318 XenForo 2.3.13 より前のバージョンでは、任意の ACP 管理者がサイト全体のプライバシーポリシーおよび利用規約への再同意をトリガーできます。 発生内容 ACP ナビゲーションエントリは option 権限を持つ管理者に限定されていますが、ForceAgreementController はその権限を強制しません。認証済みの任意の ACP 管理者からの直接リクエストは、両方のフォームとその状態変更を行う POST アクションに到達します。...

CVE-2026-73319

CVE-2026-73319 XenForo 2.3.13 より前のバージョンでは、同一ホストの javascript: URI を動的リダイレクトとして受け入れ、後でそれを window.location に割り当てます。 何が起こるか サーバー側のリダイレクト検証は外部ホストを拒否しますが、HTTP または HTTPS を要求しません。javascript://board-host/%0A... という形式の URL は XenForo ホストとして解析され、その比較を通過して AJAX レスポンスに残ります。ブラウザでは、パーセントデコードによって %0A...

CVE-2026-73317

CVE-2026-73317 XenForo 2.3.13 より前のバージョンでは、キャッシュ再構築権限のみを持つ管理者が、別のユーザーとして承認ジョブを実行させることができます。 何が起こるか ACP 再構築エンドポイントは、呼び出し元が指定したジョブクラスとオプションを受け入れます。その認可チェックは、選択されたジョブが自身をユーザートリガー可能と宣言しているかどうかのみを確認します。XF:ApprovalQueueProcess はこのチェックを通過し、承認アクションと asUserId 値の両方を受け入れます。 ジョブは XF::asVisitor...

CVE-2026-73320

CVE-2026-73320 XenForo 2.3.13 より前のバージョンでは、予測可能な整数IDによってキーが設定された認証不要のエンドポイントを通じて、保留中のリッチリンクプレビューが公開されます。 何が起こるか unfurl.php は、グローバルな UnfurlResult ID を含む POST を受け入れ、それらの行を読み込み、レンダリングされたプレビュー HTML を返します。セッション、コンテンツの可視性、親オブジェクト、署名付きケイパビリティを検証しません。返されるフラグメントには、元の URL とそのクエリ文字列が含まれます。...

CVE-2026-74239

CVE-2026-74239 XenForo 2.3.13 より前のバージョンは、Windows 上でのスタイルアーカイブインポートにおけるパストラバーサルに対して脆弱です。 何が起こるか インポーターは upload/ 配下の ZIP メンバーを受け入れ、フォワードスラッシュ形式の /../ を含む名前を拒否します。しかし、バックスラッシュを正規化したり拒否したりすることはありません。XenForo はその後、保持されたメンバー名を一時展開ディレクトリに追加します。Windows は ..\ を親ディレクトリへのトラバーサルとして解釈します。 style 権限を持つ非スーパー ACP...

CVE-2026-73317

XenForo before 2.3.13 contains a missing authorization vulnerability in the ACP cache-rebuild dispatcher that allows limited administrators with only the rebuildCache permission to perform unauthorized approval queue actions by supplying an arbitrary job class and actor user ID in the POST body...

CVE-2026-73318

XenForo before 2.3.13 contains a missing authorization vulnerability in the force-agreement controller that allows any ACP administrator to access and submit force-agreement forms regardless of their assigned permissions. Attackers can bypass the option permission declared in the navigation...

CVE-2026-73319

XenForo before 2.3.13 contains a cross-site scripting vulnerability in the dynamic redirect handler that allows unauthenticated attackers to execute arbitrary JavaScript in the board origin by crafting a malicious javascript: URI that bypasses host validation. Attackers can embed the board hostna...

CVE-2026-73321

XenForo before 2.3.13 contains an uncontrolled recursion vulnerability in the BBCode parser that allows authenticated attackers to cause persistent denial of service by submitting a post with deeply nested BBCode tags. Attackers can craft a single malicious post with sufficient nesting depth to...

CVE-2026-74239

XenForo before 2.3.13 contains a path traversal vulnerability in the style archive importer on Windows deployments that allows authenticated non-super administrators with style permissions to write arbitrary files outside the intended extraction directory by using backslash-based traversal...