CVE-2026-73315

2.3.13 이전 버전의 XenForo는 PayPal REST 웹훅이 제공하는 인증서 URL을 가져올 때 대상 주소를 제한하지 않습니다.

발생 상황

콜백 핸들러는 PAYPAL-CERT-URL을 XenForo의 신뢰된 HTTP 리더에 전달합니다. 이 핸들러는 PayPal 호스트 이름을 요구하지 않으며 루프백 또는 사설 네트워크 대상도 차단하지 않습니다. 따라서 원격 요청을 통해 XenForo 호스트가 공격자가 선택한 URL을 가져오게 만들 수 있습니다.

저는 승인된 XenForo 2.3.12 설치 환경에서 리스너를 사용하여 SSRF 프리미티브를 확인했습니다. 또한 합성 인증서와 설치 환경에 구성된 테스트 웹훅 ID를 사용하여 서명 관련 결과도 검증했습니다. XenForo는 가져온 키를 사용하여 콜백을 인증했습니다. 두 번째 결과는 웹훅 ID에 대한 지식이 필요하며, 이 보고서는 해당 ID가 공개되어 있다고 가정하지 않습니다.

입증된 영향은 블라인드 서버 측 HTTP(S) 접근입니다. 결제 위조는 추가적인 구성 정보가 있을 때만 가능합니다. XenForo 2.3.13에 이 수정 사항이 포함되어 있습니다.

개념 증명

이 스크립트는 로컬 테스트 키로 합성 콜백 하나에 서명하고 인증서 헤더를 사용자가 제어하는 URL로 지정합니다:

python poc.py https://xenforo.example REQUEST_KEY 10.00 USD TEST_WEBHOOK_ID https://listener.example/test-cert.pem test-key.pem

격리된 결제 프로필과 소유한 리스너를 사용하세요. 이 스크립트는 생성된 트랜잭션 ID와 HTTP 상태 코드만 보고합니다.

참고 자료

• CVE 레코드
• VulnCheck 권고
• XenForo 2.3.13 릴리스