bombobombone/cve-2026-74239Proof of Concept und technische Ausarbeitung für CVE-2026-74239, eine Path-Traversal-Schwachstelle bei XenForo-Stil-Archivimporten unter Windows, die das Schreiben von Dateien über manipulierte ZIP-Dateien ermöglicht.
XenForo vor 2.3.13 ist beim Import von Style-Archiven unter Windows anfällig für Pfad-Traversal.
Der Importer akzeptiert ZIP-Einträge unter upload/ und lehnt Namen ab, die die Form mit Vorwärtsschrägstrich /../ enthalten. Er normalisiert oder lehnt Backslashes nicht ab. XenForo hängt dann den beibehaltenen Eintragsnamen an sein temporäres Extraktionsverzeichnis an. Windows interpretiert ..\ als Traversal ins übergeordnete Verzeichnis.
Ein ACP-Administrator ohne Super-Admin-Rechte mit der Berechtigung style kann aus dem temporären Verzeichnis ausbrechen und Bytes in einen anderen, vom Webserver beschreibbaren Pfad schreiben. Unter XenForo 2.3.12 (Build 2031270) schrieb ein präparierter Eintrag eine neue PHP-Marker-Datei in das öffentliche Web-Root; beim Abruf wurde der konstante Marker unter dem Konto des Webservers ausgeführt.
Die Voraussetzungen sind eine Windows-Bereitstellung mit PHP-ZIP-Unterstützung, ein delegierter Style-Administrator und ein beschreibbares Ziel. XenForo 2.3.13 enthält die Korrektur.
python poc.py https://xenforo.example LIMITED_STYLE_ADMIN --confirm-write
Das Passwort wird über eine Eingabeaufforderung abgefragt. Das Skript erstellt style-archive-sentinel.php und gibt nach dem Lauf dessen Pfad aus.
Entdeckt von Marco Paciaroni (BomboBombone).