CVE-2026-73321

XenForo 2.3.13 이전 버전은 깊게 중첩된 BBCode를 통해 PHP 워커를 고갈시킬 수 있습니다.

검증한 내용

공개 editor/to-html 라우트는 게스트가 제공한 BBCode를 XenForo의 재귀 파서 및 렌더러로 전달합니다. 해당 작업 전에 원시 길이 또는 중첩 제한을 적용하지 않습니다. 일반 메시지 준비 경로도 최종 메시지 길이 검증 전에 BBCode를 처리합니다.

승인된 XenForo 2.3.12(빌드 2031270) 설치 환경에서 5,000개의 중첩된 [quote] 태그(75,005바이트)를 포함한 게스트 요청 한 건이 연결을 재설정했습니다. Apache는 PHP 자식 프로세스에 대해 Windows 스택 오버플로우 종료(0xC00000FD)를 기록하고 이를 재시작했습니다.

이 저장소는 테스트를 통해 직접 확인된 좁은 범위의 동작만을 의도적으로 문서화합니다: 인증되지 않은 요청 한 건으로 워커를 충돌/재활용시킬 수 있으며, 반복적인 동시 요청으로 가용성을 저하시킬 수 있습니다. 코드 실행, 데이터 접근, 지속성 또는 영구적인 호스트 전체 중단을 주장하지 않습니다. XenForo 2.3.13에 수정 사항이 포함되어 있습니다.

개념 증명

python poc.py https://xenforo.example 5000 --confirm-disruption

이 스크립트는 정확히 하나의 요청을 보내며 깊이를 5,000으로 제한합니다. 명시적인 중단 확인이 필요합니다. 웹 서버 오류 로그와 프로세스 상태를 모니터링하면서 격리된 설치 환경에서만 실행하십시오.

참고 자료

• CVE 레코드