bombobombone/cve-2026-73317CVE-2026-73317の概念実証エクスプロイトおよび技術解説書。XenForoにおける認可バイパスであり、制限付き管理者がACPキャッシュ再構築ディスパッチャを介して別のユーザーとしてコンテンツを承認できるようにする脆弱性です。
XenForo 2.3.13 より前のバージョンでは、キャッシュ再構築権限のみを持つ管理者が、別のユーザーとして承認ジョブを実行させることができます。
ACP 再構築エンドポイントは、呼び出し元が指定したジョブクラスとオプションを受け入れます。その認可チェックは、選択されたジョブが自身をユーザートリガー可能と宣言しているかどうかのみを確認します。XF:ApprovalQueueProcess はこのチェックを通過し、承認アクションと asUserId 値の両方を受け入れます。
ジョブは XF::asVisitor() 内で選択されたアカウントとして実行されます。したがって、権限が制限された管理者は、承認キューやモデレーター権限なしでキュー内のコンテンツを承認でき、モデレーションログはその操作をなりすまされたユーザーによるものとして記録します。
XenForo 2.3.12（ビルド 2031270）で最小ケースを再現しました。rebuildCache のみを持つ非スーパー管理者は承認キューを開けませんでしたが、隠しジョブを通じて使い捨てのモデレート対象ユーザー1名を承認できました。XenForo 2.3.13 に修正が含まれています。
python poc.py https://xenforo.example LIMITED_ADMIN AS_USER_ID DISPOSABLE_MODERATED_USER_ID --confirm
パスワードは非表示のプロンプトで読み取られます。このスクリプトは状態を変更する承認を1回実行するため、使い捨てユーザーのみを使用し、その後モデレーションログを確認してください。
発見者: Marco Paciaroni (BomboBombone)。