CVE-2026-73320 in XenForo
要約
〜によって VulDB • 2026年09月08日
XenForo 2.3.13 より前には、認証不要の情報開示脆弱性が存在します。攻撃者は、unfurl エンドポイントに対して予測可能な自動インクリメント主キー ID を提供することで、非認証状態からプライベートな unfurl レコードを取得できます。攻撃者は結果の ID を列挙または予測し、セッション、ユーザー、可視性チェックを一切行わずにエンドポイントをクエリして、プライベートな会話やその他の制限付きコンテンツからのレンダリング済みプレビュー HTML、元の URL、およびクエリ文字列を取得することができます。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.