CVE-2026-73317

सारांश

XenForo 2.3.13 से पहले के संस्करणों में ACP कैश-रीबिल्ड डिस्पैचर में एक अनुपस्थित प्राधिकरण भेद्यता (missing authorization vulnerability) मौजूद है, जो केवल rebuildCache अनुमति रखने वाले सीमित प्रशासकों को POST बॉडी में एक मनमाना जॉब क्लास और एक्टर उपयोगकर्ता आईडी प्रदान करके अनधिकृत अनुमोदन कतार (approval queue) क्रियाएँ करने की अनुमति देती है। हमलावर किसी भी उपयोगकर्ता पहचान के अंतर्गत अनुमोदन कतार जॉब को लागू कर सकते हैं ताकि आवश्यक अनुमोदन-कतार या मॉडरेटर अनुमतियों के बिना कतारबद्ध उपयोगकर्ता पंजीकरणों को अनुमोदित किया जा सके, जिससे मॉडरेशन लॉग क्रियाओं को एक प्रतिरूपित (impersonated) खाते के नाम पर दर्ज करता है।

• CVE-2026-73317PoC

  CVE-2026-73317 के लिए प्रूफ-ऑफ-कॉन्सेप्ट एक्सप्लॉइट और तकनीकी विवरण, जो XenForo में एक प्राधिकरण बायपास है, जो सीमित एडमिन को ACP कैश-रीबिल्ड डिस्पैचर के माध्यम से किसी अन्य उपयोगकर्ता के रूप में सामग्री को अनुमोदित करने की अनुमति देता है।