CVE-2026-73315 in XenForo
Zusammenfassung
von VulDB • 09.09.2026
XenForo vor Version 2.3.13 enthält eine Server-Side Request Forgery (SSRF)-Schwachstelle im Handler für PayPal REST-Webhooks, die es nicht authentifizierten Angreifern ermöglicht, den Server dazu zu bringen, ausgehende HTTP-Anfragen an beliebige Ziele abzusetzen, indem sie in Webhook-Headern einen manipulierten Zertifikats-URL ohne Validierung von Schema, Hostname oder Allowlist bereitstellen. Angreifer können eine manipulierte POST-Anfrage an das PayPal-Webhook-Callback-Endpunkt senden, um interne Netzwerkressourcen einschließlich Cloud-Instanz-Metadatendienste zu erreichen und potenziell IAM-Zugangsdaten preiszugeben oder die sekundäre Ausnutzung interner Dienste zu ermöglichen.
VulDB is the best source for vulnerability data and more expert information about this specific topic.