CVE-2026-73318

सारांश

XenForo 2.3.13 से पहले के संस्करण में force-agreement कंट्रोलर में एक अनुपस्थित प्राधिकरण भेद्यता (missing authorization vulnerability) मौजूद है, जो किसी भी ACP व्यवस्थापक को उनके निर्धारित अनुमतियों की परवाह किए बिना force-agreement फॉर्म तक पहुँचने और सबमिट करने की अनुमति देती है। हमलावर नेविगेशन कॉन्फ़िगरेशन में घोषित विकल्प अनुमति (option permission) को बायपास कर सकते हैं ताकि वैश्विक नीति के अंतिम-अद्यतन टाइमस्टैम्प को अपडेट किया जा सके, जिससे सभी उपयोगकर्ताओं को गोपनीयता नीति या सेवा की शर्तों से पुनः सहमत होने के लिए बाध्य किया जा सके।

• CVE-2026-73318PoC

  XenForo CVE-2026-73318 के लिए प्रूफ-ऑफ-कॉन्सेप्ट एक्सप्लॉइट, एक प्राधिकरण बायपास जो ACP प्रशासकों को साइट-व्यापी नीति पुनः-सहमति ट्रिगर करने की अनुमति देता है। इसमें पुनरुत्पादन चरण और एक Python स्क्रिप्ट शामिल है।