CVE-2026-35054是XenForo 2.3.9之前版本中的一个存储型跨站脚本（XSS）漏洞，与BB代码渲染有关。攻击者可以通过BB代码注入恶意脚本，这些脚本在其他用户查看内容时存储和执行。此漏洞影响2.3.0–2.3.9版本，并在2.3.9版本中得到修复。
CVE-2026-35054 漏洞影响 XenForo 2.3.9 之前的版本，存在存储型跨站脚本攻击 (XSS) 风险。攻击者可以通过在论坛或帖子中使用 BB 代码注入恶意代码。此代码随后存储在数据库中，并在其他用户查看受影响的内容时执行。潜在影响包括窃取 Cookie、重定向到恶意网站或修改页面内容，从而危及论坛的安全性与完整性。根据 CVSS，此漏洞的严重程度评分为 6.4。成功利用可能使攻击者控制用户帐户、代表用户执行操作，或在管理员可访问的区域中利用漏洞时破坏论坛管理。
该漏洞通过操纵 BB 代码来利用。攻击者可以创建一个包含伪装在 BB 代码标签中的恶意 JavaScript 代码的帖子或消息。当其他用户查看此帖子时，JavaScript 代码将在其浏览器中执行。利用的有效性取决于论坛的配置和已实施的安全措施。缺乏对 BB 代码的适当验证或清理允许攻击者注入恶意代码。恶意代码在数据库中的持久性意味着如果未迅速解决，此漏洞可能会影响大量用户。
漏洞利用状态
EPSS
0.03% (8% 百分位)
CISA SSVC
CVSS 向量
减轻 CVE-2026-35054 的主要解决方案是将 XenForo 更新到 2.3.9 或更高版本。此更新包含防止通过 BB 代码注入和执行恶意代码的必要修复。同时，建议论坛管理员密切监控已发布的 内容，尤其是来自新用户或不可信用户的。实施严格的审核策略并使用内容过滤工具可以帮助在其他用户查看之前检测和删除潜在的恶意内容。用户还应避免点击可疑链接或从未知来源下载论坛内的文件。
Actualice XenForo a la versión 2.3.9 o superior. Esta versión contiene una corrección para la vulnerabilidad XSS. La actualización se puede realizar a través del panel de administración de XenForo.
漏洞分析和关键警报直接发送到您的邮箱。
BB 代码是一种在论坛中用于格式化文本、插入图像和创建链接的简单标记系统。
如果您使用的是 XenForo 2.3.9 之前的版本，则您的论坛容易受到攻击。
立即将 XenForo 更新到最新版本并进行安全审计。
实施严格的审核策略，并考虑使用安全扩展程序来过滤内容。
是的，升级到 2.3.9 或更高版本包含必要的修复程序，以防止利用此漏洞。