JVNDB-2026-033443

XenForoにおける不適切な比較に関する脆弱性

XenForo 2.3.13より前のバージョンには、OAuth2トークンエンドポイントに認証バイパスの脆弱性があります。この脆弱性により、認証されていない攻撃者がclient_secretおよびcode_verifierパラメータに空の値を送信することで、有効なトークンペアを取得できます。攻撃者は、PHPのtruthy評価ロジックが空文字列をfalseとして扱い、クライアントシークレットの検証およびPKCEコードベリファイアの検証をスキップしてしまう点を悪用します。その結果、クライアントの身元を証明したりPKCEのコミットメントを保持したりすることなく、有効な認可コードをトークンペアに交換できてしまいます。

XenForo

• XenForo 2.3.13 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : GitHub - BomboBombone/CVE-2026-73309: Sanitized XenForo write-up and proof of concept for CVE-2026-73309.  GitHub
• GitHub Pages : CVE-2026-73309: Empty OAuth2 credentials bypass ― BomboBombone

VulnCheck

• VulnCheck : XenForo < 2.3.13 Authentication Bypass via OAuth2 Token Endpoint  | Advisories | VulnCheck

1. 不適切な比較(CWE-697) [その他]

1. CVE-2026-73309

1. National Vulnerability Database (NVD) : CVE-2026-73309
2. 関連文書 : https://xenforo.com/community/threads/xenforo-2-3-13-and-add-ons-released-includes-security-fixes.239857/
3. 関連文書 : Security fixes released for all XenForo and Media Gallery versions (2.2.0 to 2.3.12) | XenForo community

• [2026年09月14日]
    掲載