bombobombone/cve-2026-73315CVE-2026-73315の概念実証と技術解説書。XenForoのPayPal RESTウェブフックハンドラにおけるSSRFで、ブラインドなサーバーサイドHTTPリクエストを可能にします。
2.3.13 より前の XenForo は、PayPal REST ウェブフックが提供する証明書 URL を、その宛先を制限せずに取得します。
コールバックハンドラは PAYPAL-CERT-URL を XenForo の信頼済み HTTP リーダーに渡します。これは PayPal のホスト名を要求せず、ループバックやプライベートネットワークの宛先もブロックしません。したがって、リモートからのリクエストにより、XenForo ホストに攻撃者が選択した URL を取得させることができます。
私は、許可された XenForo 2.3.12 インストール環境のリスナーで SSRF プリミティブを確認しました。また、合成証明書とインストール環境で設定されたテスト用ウェブフック ID を使用して、署名に関する影響も検証しました。XenForo は取得した鍵を使用してコールバックを認証しました。この2つ目の結果にはウェブフック ID の知識が必要です。このレポートでは、それが公開されているとは想定していません。
実証された影響は、ブラインドなサーバーサイド HTTP(S) アクセスです。決済の偽造は、追加の設定知識がある場合に限られます。XenForo 2.3.13 に修正が含まれています。
このスクリプトは、ローカルのテスト鍵で1つの合成コールバックに署名し、証明書ヘッダーをあなたが管理する URL に向けます:
python poc.py https://xenforo.example REQUEST_KEY 10.00 USD TEST_WEBHOOK_ID https://listener.example/test-cert.pem test-key.pem
隔離された決済プロファイルと、あなたが所有するリスナーを使用してください。このスクリプトは、生成されたトランザクション ID と HTTP ステータスのみを報告します。
発見者: Marco Paciaroni (BomboBombone)。