XenForo < 2.3.13: повторное использование refresh-токенов через истёкший access-токен (CVE-2026-73312)
Критическая уязвимость (CVSS 9.1) в форумном движке XenForo позволяет атакующему многократно использовать один и тот же refresh-токен для получения новых пар доступа. Проблема затрагивает версии до 2.3.13 и требует немедленного обновления для предотвращения устойчивого несанкционированного доступа к учётным записям пользователей.
Подробности
Уязвимость затрагивает все версии XenForo до 2.3.13 включительно. Причина кроется в ошибке логики серверной части: система не помечает refresh-токен как использованный (consumed) в том случае, когда родительский access-токен уже истёк. В результате злоумышленник, получивший доступ к валидной паре токенов (например, через перехват или кражу), может многократно отправлять один и тот же refresh-токен на эндпоинт обновления токенов. Сервер, не отслеживающий факт потребления, генерирует для каждого такого запроса новую независимую пару «access + refresh». Таким образом, атакующий обеспечивает себе постоянный несанкционированный доступ к аккаунту жертвы на весь срок жизни исходного refresh-токена, неограниченно продлевая сессию без необходимости повторной аутентификации. Практическая значимость проблемы усугубляется тем, что форумные движки XenForo часто содержат большую пользовательскую базу и личные сообщения. Используя данную уязвимость, злоумышленник получает полный контроль над учётной записью жертвы, включая возможность изменять профиль, публиковать контент от её имени и читать приватную переписку.Что делать
Разработчики XenForo устранили проблему в версии 2.3.13. Первоочередной мерой является немедленное обновление всех установленных форумов до актуальной версии. Если обновление по каким-либо причинам невозможно, администраторам рекомендуется временно отключить внешний OAuth-доступ или механизм обновления токенов, если это допустимо для функциональности сообщества. Также следует пересмотреть логику всех интегрированных приложений, использующих API XenForo, и убедиться, что они корректно обрабатывают выдачу и инвалидацию refresh-токенов. Дополнительно стоит провести аудит журналов: поискать повторяющиеся запросы к эндпоинту токенов с одинаковыми refresh-значениями — это признак возможной эксплуатации. Пользователям с высокой привилегией (администраторам и модераторам) рекомендуется после обновления принудительно завершить все активные сессии и выполнить повторный вход.Итог
CVE-2026-73312 представляет серьёзную угрозу для конфиденциальности данных пользователей XenForo. Благодаря возможности бесконечного воспроизведения refresh-токена, уязвимость превращает любую утечку токенов в длительный и трудно обнаруживаемый компрометирующий фактор. Учитывая критичность оценки CVSS, администраторам настоятельно рекомендуется незамедлительно развернуть патч версии 2.3.13 и проверить журналы на предмет подозрительной активности.Источник: CVE Project (cvelistV5)