CVE-2026-73312: Drei OAuth2-Schwachstellen in XenForo
Dieser Text wurde mit künstlicher Intelligenz (KI) erstellt.XenForo veröffentlichte am 8. September 2026 Sicherheitsfixes für drei OAuth2-Schwachstellen in XenForo. Betroffen sind XenForo-Versionen vor 2.3.13. Die CVEs CVE-2026-73309, CVE-2026-73311 und CVE-2026-73312 sind jeweils mit CVSS 4.0: 9.1 bewertet.
Nach Angaben von XenForo enthält Version 2.3.13 Sicherheitsfixes für die betroffenen Versionen. Organisationen sollten daher öffentlich erreichbare XenForo-Instanzen erfassen, ihren Patchstatus prüfen und Systeme vor 2.3.13 priorisiert aktualisieren.
Die drei Schwachstellen betreffen unterschiedliche Prüfungen und Einmalverwendungsregeln im OAuth2-Ablauf.
CVE-2026-73312: Wiederverwendung von Refresh Tokens
Laut XenForo-Advisory ermöglicht CVE-2026-73312 die mehrfache Nutzung eines Refresh Tokens, wenn das zugehörige Access Token abgelaufen ist. Der Refresh Token wird in diesem Fall nicht als verbraucht markiert. Dadurch können zusätzliche unabhängige Token-Paare erzeugt werden. Der nicht autorisierte Zugriff kann über die Laufzeit des Tokens bestehen bleiben.
CVE-2026-73311: Wiederverwendung von Autorisierungscodes
Gemäß dem Vendor-Advisory von XenForo betrifft CVE-2026-73311 die Wiederverwendung bereits eingesetzter OAuth2-Autorisierungscodes. Ein Autorisierungscode wird nach der ersten Token-Ausgabe nicht ungültig oder als verbraucht markiert. Dadurch können für dieselbe Identität und dieselben Berechtigungen weitere Token-Paare ausgegeben werden.
CVE-2026-73309: Umgehung am OAuth2-Token-Endpunkt
Das XenForo-Advisory beschreibt bei CVE-2026-73309 eine Umgehung der Authentisierungsprüfung am OAuth2-Token-Endpunkt. Leere Werte für client_secret und code_verifier können Prüfungen überspringen, weil leere Zeichenketten in der PHP-Auswertung als falsch behandelt werden. Ein gültiger Autorisierungscode kann dadurch gegen ein Token-Paar getauscht werden, ohne dass die Client-Identität oder die PKCE-Bindung nachgewiesen wird.
Patchen und Zugriffe nachprüfen
Der Patch auf XenForo 2.3.13 oder höher ist die dokumentierte Abhilfemaßnahme. Für Systeme, die vor dem Update öffentlich erreichbar waren, gehört zur Nachkontrolle auch die Prüfung aktiver OAuth2-Token-Paare und Sitzungen auf nicht autorisierte Zugriffe.
Dabei sind insbesondere folgende Beobachtungen relevant:
wiederholt ausgegebene Token-Paare,
Sitzungen, die keiner erwarteten Anmeldung zugeordnet werden können,
Zugriffe, die auf nicht autorisierte Nutzung von OAuth2-Token hinweisen.
Für Betreiber öffentlich erreichbarer XenForo-Instanzen in Deutschland und Österreich gilt: Werden OAuth2-Token-Paare durch unbefugte Dritte missbraucht und personenbezogene Nutzerdaten abgerufen, kann eine Meldepflicht nach Art. 33 DSGVO innerhalb von 72 Stunden ausgelöst werden. NIS-2-pflichtige Organisationen in Deutschland und Österreich sollten die Betroffenheit im Rahmen ihres Schwachstellenmanagements dokumentieren. Für die Schweiz gilt das revidierte Informationssicherheitsgesetz (ISG) mit Meldepflicht an das BACS.
Neben der Aktualisierung unterstützt kontinuierliches Schwachstellen- und Lieferantenmonitoring dabei, betroffene Systeme nach Sicherheitsmeldungen erneut zu prüfen und priorisiert zu bearbeiten.
LocateRisk EASM kann XenForo-Instanzen unter Kundendomains identifizieren und öffentlich erreichbare Webanwendungen für die Patchprüfung erfassen. Das schafft eine Arbeitsgrundlage, um XenForo-Systeme vor Version 2.3.13 im Bestand zu lokalisieren und ihre Bearbeitung zu priorisieren.
Die Plattform macht öffentlich erreichbare Systeme und eingesetzte Software sichtbar. Sie erkennt jedoch nicht zwingend die konkret verwundbare Version und ersetzt weder das Update noch die Prüfung von OAuth2-Token-Paaren, Sitzungen oder Authentisierungsabläufen.
C-VRM ergänzt diese Sicht auf die eigene Infrastruktur im Lieferantenkontext: Kritische Schwachstellen bei Anbietern oder ein sinkendes Sicherheitsniveau von Anbietern können nachverfolgt werden. Für XenForo bleibt die technische Maßnahme klar: Betroffenheit und Patchstatus prüfen, auf die fehlerbereinigte Version aktualisieren sowie auffällige Token-Paare und Sitzungen untersuchen.
Bin ich betroffen?
Betroffen ist XenForo in den oben genannten Versionen; behoben wurde die Schwachstelle in 2.3.13. Wer wissen will, ob XenForo in der eigenen extern erreichbaren Infrastruktur überhaupt sichtbar ist, kann den CVE-Quick-Check am Ende dieses Artikels nutzen: Er zeigt exponierte Systeme und die von außen erkennbare Software.
Die konkret installierte Version lässt sich von außen nicht in jedem Fall bestimmen — ausschlaggebend ist der Abgleich mit dem Hersteller-Advisory.
Die drei Schwachstellen betreffen unterschiedliche Prüfungen im OAuth2-Ablauf: CVE-2026-73312 erlaubt die mehrfache Nutzung eines Refresh Tokens nach Ablauf des zugehörigen Access Tokens. CVE-2026-73311 ermöglicht die Wiederverwendung bereits genutzter Autorisierungscodes. CVE-2026-73309 erlaubt die Umgehung der Authentisierungsprüfung am Token-Endpunkt durch leere Parameterwerte.
Betroffen sind alle XenForo-Versionen vor 2.3.13. Die dokumentierte Abhilfemaßnahme ist das Update auf XenForo 2.3.13 oder höher. XenForo hat den Fix am 8. September 2026 veröffentlicht.
Nach dem Update sollten aktive OAuth2-Token-Paare und Sitzungen auf Auffälligkeiten untersucht werden — insbesondere wiederholt ausgegebene Token-Paare und Sitzungen, die keiner erwarteten Anmeldung zugeordnet werden können. Systeme, die vor dem Update öffentlich erreichbar waren, sind dabei besonders zu berücksichtigen.
Stand: 08.09.2026. Dieser Beitrag dient allgemeinen Informationszwecken und ist keine Rechts-, Sicherheits- oder Handlungsberatung im Einzelfall. Sicherheitslage und Patch-Verfügbarkeit können sich seit der Veröffentlichung geändert haben; maßgeblich ist stets das verlinkte Hersteller-Advisory. Trotz sorgfältiger Recherche übernehmen wir keine Gewähr für Aktualität, Richtigkeit und Vollständigkeit.
CVE Quick Check
Prüfen Sie in wenigen Minuten, ob zu einer aktuellen CVE Hinweise auf Ihrer extern sichtbaren Angriffsfläche erkennbar sind.
Grobe Einschätzung in wenigen Minuten per E-Mail.
Details im kostenlosen Gespräch mit einem LocateRisk Consultant.
Das erhalten Sie per E-Mail
UnternehmenIhre Firma GmbH
Geprüfte CVECVE-2026-73312
Passive Bewertung
Hinweise zur CVEgefunden oder nicht gefunden
Mehr erfahren, Demo buchen oder einfach mal kurz austauschen? Wir freuen uns!
We use cookies to optimize our website and our service.
Functional
Immer aktiv
Die technische Speicherung oder der Zugang ist unbedingt erforderlich für den rechtmäßigen Zweck, die Nutzung eines bestimmten Dienstes zu ermöglichen, der vom Teilnehmer oder Nutzer ausdrücklich gewünscht wird, oder für den alleinigen Zweck, die Übertragung einer Nachricht über ein elektronisches Kommunikationsnetz durchzuführen.
Vorlieben
Die technische Speicherung oder der Zugriff ist für den rechtmäßigen Zweck der Speicherung von Präferenzen erforderlich, die nicht vom Abonnenten oder Benutzer angefordert wurden.
Statistics
Die technische Speicherung oder der Zugriff, der ausschließlich zu statistischen Zwecken erfolgt.Die technische Speicherung oder der Zugriff, der ausschließlich zu anonymen statistischen Zwecken verwendet wird. Ohne eine Vorladung, die freiwillige Zustimmung deines Internetdienstanbieters oder zusätzliche Aufzeichnungen von Dritten können die zu diesem Zweck gespeicherten oder abgerufenen Informationen allein in der Regel nicht dazu verwendet werden, dich zu identifizieren.
Marketing
Die technische Speicherung oder der Zugriff ist erforderlich, um Nutzerprofile zu erstellen, um Werbung zu versenden oder um den Nutzer auf einer Website oder über mehrere Websites hinweg zu ähnlichen Marketingzwecken zu verfolgen.
Deutsch 
English 
Français