CVE-2026-73314

सारांश

XenForo 2.3.13 से पहले के संस्करणों में PayPal REST वेबहुक हैंडलर में सिग्नेचर सत्यापन तर्क त्रुटि शामिल है, जो बिना प्रमाणीकरण वाले हमलावरों को एक असमर्थित auth_algo हेडर मान के साथ वेबहुक अनुरोध सबमिट करके भुगतान सिग्नेचर सत्यापन को बायपास करने की अनुमति देती है। जब एल्गोरिदम को किसी समर्थित हैश फ़ंक्शन से मैप नहीं किया जा सकता है, तो सत्यापन फ़ंक्शन विफल होने के बजाय गलत तरीके से true लौटाता है, जिससे कॉलर नकली अनुरोध को सत्यापित मान लेता है और बिना वैध PayPal सिग्नेचर के भुगतान इवेंट को संसाधित करता है।

स्रोत

• CVE-2026-73314PoC

  CVE-2026-73314 के लिए प्रूफ-ऑफ-कॉन्सेप्ट एक्सप्लॉइट, जो XenForo 2.3.13 से पहले के संस्करणों में PayPal REST वेबहुक हस्ताक्षर सत्यापन बायपास है, जिससे अनधिकृत खरीदारी पूर्णता संभव होती है।