पोस्ट में लाइटबॉक्स के माध्यम से XenForo क्रॉस-साइट स्क्रिप्टिंग (Cross-Site Scripting)

XenForo के संस्करण 2.3.9 से पहले और 2.2.18 से पहले मौजूद CVE-2026-35055 एक क्रॉस-साइट स्क्रिप्टिंग (XSS) भेद्यता है। यह भेद्यता फ़ोरम पोस्ट में लाइटबॉक्स कार्यक्षमता के उपयोग में प्रकट होती है। एक हमलावर पोस्ट की सामग्री में दुर्भावनापूर्ण जावास्क्रिप्ट कोड इंजेक्ट कर सकता है। जब कोई उपयोगकर्ता उस पोस्ट के साथ इंटरैक्ट करता है, उदाहरण के लिए, इसे लाइटबॉक्स में खोलकर, स्क्रिप्ट उपयोगकर्ता के ब्राउज़र संदर्भ में निष्पादित होती है। यह हमलावर को संभावित रूप से कुकीज़ चुराने, उपयोगकर्ता को दुर्भावनापूर्ण वेबसाइटों पर पुनर्निर्देशित करने या पृष्ठ सामग्री को संशोधित करने की अनुमति देता है, जिससे फ़ोरम की सुरक्षा और अखंडता से समझौता होता है। इस मुद्दे की गंभीरता इस तथ्य में निहित है कि यह उन सभी उपयोगकर्ताओं को प्रभावित कर सकता है जो भेद्य सामग्री के साथ इंटरैक्ट करते हैं, खासकर जिनके पास प्रशासनिक विशेषाधिकार हैं।

Organizations and individuals using XenForo versions 2.3.0 through 2.3.9 and versions prior to 2.2.18 are at risk. This includes forums used for internal communication, customer support, or public discussions. Shared hosting environments running XenForo are particularly vulnerable, as they may be more difficult to patch quickly.

• php / web:

curl -I https://example.com/lightbox.php?content=<script>alert(1)</script> | grep -i content-type

• php / web: Check XenForo version by inspecting the HTTP headers or HTML source code for version identifiers. • php / web: Review XenForo access and error logs for suspicious activity related to lightbox usage or unusual script injections. • php / web: Monitor for unusual JavaScript execution patterns within the forum environment using browser developer tools.

1. 2026-04-01Disclosure

   disclosure

1. आरक्षित2026-04-01
2. प्रकाशित2026-04-01
3. EPSS अद्यतन2026-04-08

CVE-2026-35055 को कम करने का समाधान XenForo को संस्करण 2.3.9 या उच्चतर, या संस्करण 2.2.18 या उच्चतर में अपडेट करना है। इस अपडेट में लाइटबॉक्स हैंडलिंग में XSS भेद्यता को ठीक करने वाले सुरक्षा पैच शामिल हैं। शोषण के जोखिम को कम करने के लिए जितनी जल्दी हो सके अपडेट करना उचित है। इसके अतिरिक्त, अपने फ़ोरम की सुरक्षा नीतियों की समीक्षा करें, जिसमें उपयोगकर्ता इनपुट सत्यापन और हमले की सतह को कम करने के लिए सामग्री सुरक्षा नीति (CSP) का कार्यान्वयन शामिल है। किसी भी अपडेट को लागू करने से पहले अपने फ़ोरम का बैकअप लेना महत्वपूर्ण है ताकि समस्या होने पर सिस्टम को पुनर्स्थापित किया जा सके। फ़ोरम लॉग की निगरानी करके संदिग्ध गतिविधि का पता लगाना भी संभावित हमलों का पता लगाने और उनका जवाब देने में मदद कर सकता है।