bombobombone/cve-2026-73315Prova de conceito e relatório técnico para CVE-2026-73315, uma SSRF no manipulador de webhook PayPal REST do XenForo que permite requisições HTTP cegas do lado do servidor.
XenForo anterior à versão 2.3.13 busca a URL do certificado fornecida por um webhook REST do PayPal sem restringir seu destino.
O manipulador de callback passa PAYPAL-CERT-URL para o leitor HTTP confiável do XenForo. Ele não exige um hostname do PayPal e não bloqueia destinos de loopback ou de rede privada. Uma solicitação remota pode, portanto, fazer o host XenForo buscar uma URL selecionada pelo atacante.
Confirmei a primitiva de SSRF com um listener em uma instalação autorizada do XenForo 2.3.12. Também validei a consequência da assinatura com um certificado sintético e o ID de webhook de teste configurado na instalação: o XenForo usou a chave buscada para autenticar o callback. Esse segundo resultado exige conhecimento do ID do webhook; o relatório não presume que ele seja público.
O impacto demonstrado é acesso HTTP(S) cego do lado do servidor. A falsificação de pagamento depende de conhecimento adicional de configuração. O XenForo 2.3.13 contém a correção.
O script assina um callback sintético com uma chave de teste local e aponta o cabeçalho do certificado para uma URL que você controla:
python poc.py https://xenforo.example REQUEST_KEY 10.00 USD TEST_WEBHOOK_ID https://listener.example/test-cert.pem test-key.pem
Use um perfil de pagamento isolado e um listener que você possua. O script relata apenas o ID de transação gerado e o status HTTP.
Descoberto por Marco Paciaroni (BomboBombone).