Contournement de la restriction des appels de méthode de modèle XenForo

Cette vulnérabilité est particulièrement critique car elle permet une exécution de code à distance (RCE). Un attaquant peut exploiter cette faille pour prendre le contrôle complet du serveur XenForo, compromettre les données des utilisateurs, modifier le contenu du forum, ou lancer d'autres attaques. L'attaquant pourrait, par exemple, injecter du code PHP malveillant dans un modèle, qui serait ensuite exécuté à chaque fois que le modèle est rendu. La surface d'attaque est large, car elle affecte toutes les méthodes accessibles via des callbacks et des appels de variables dans les modèles, offrant de multiples points d'entrée pour l'exploitation. Une compromission réussie pourrait entraîner une perte de confidentialité, d'intégrité et de disponibilité des données.

1. Réservé2026-04-01
2. Publiée2026-04-01
3. Modifiée2026-04-03
4. EPSS mis à jour2026-04-08

La mitigation principale consiste à mettre à jour XenForo vers la version 2.3.7 ou supérieure. Si la mise à jour n'est pas immédiatement possible, il est recommandé de désactiver temporairement les callbacks et les appels de variables dans les modèles, bien que cela puisse affecter la fonctionnalité du forum. En attendant la mise à jour, une analyse minutieuse des modèles personnalisés est nécessaire pour identifier et supprimer toute possibilité d'injection de code. Il n'existe pas de règles WAF spécifiques connues pour cette vulnérabilité, mais une surveillance accrue des requêtes POST et GET contenant des caractères spéciaux pourrait aider à détecter des tentatives d'exploitation. Après la mise à jour, vérifiez l'intégrité des fichiers XenForo en comparant les sommes de contrôle (checksums) avec celles fournies par le fournisseur.