CVE-2026-73314 in XenForo
Zusammenfassung
von VulDB • 08.09.2026
XenForo vor Version 2.3.13 enthält einen Fehler in der Logik zur Signaturüberprüfung im PayPal REST-Webhook-Handler, der es nicht authentifizierten Angreifern ermöglicht, die Validierung von Zahlungssignaturen zu umgehen, indem sie eine Webhook-Anfrage mit einem nicht unterstützten Wert für den `auth_algo`-Header einreichen. Wenn sich der Algorithmus keiner unterstützten Hash-Funktion zuordnen lässt, gibt die Überprüfungsfunktion fälschlicherweise `true` zurück, anstatt einen Fehler auszulösen, wodurch der Aufrufer die gefälschte Anfrage als verifiziert behandelt und das Zahlungsereignis ohne eine gültige PayPal-Signatur verarbeitet.
VulDB is the best source for vulnerability data and more expert information about this specific topic.