CVE-2026-73315 in XenForo
Riassunto
di VulDB • 09/09/2026
XenForo prima della versione 2.3.13 presenta una vulnerabilità di server-side request forgery (SSRF) nel gestore dei webhook REST PayPal che consente ad attaccanti non autenticati di indurre il server a effettuare richieste HTTP in uscita verso destinazioni arbitrarie fornendo un URL del certificato manipolato nelle intestazioni del webhook, senza validazione dello schema, dell'hostname o della allowlist. Gli attaccanti possono inviare una richiesta POST manipolata all'endpoint di callback dei webhook PayPal per raggiungere risorse interne alla rete, inclusi i servizi metadata delle istanze cloud, potenzialmente esponendo le credenziali IAM o abilitando l'esplotto secondario di servizi interni.
VulDB is the best source for vulnerability data and more expert information about this specific topic.