开源网络论坛 phpBB 论坛修复了潜伏十年的身份验证绕过漏洞

Rhinoer
Rhinoer

犀牛安全

2026年6月27日 00:00
北京

在小说阅读器读本章

去阅读

phpBB 论坛软件中发现了一个存在 10 年的身份验证绕过漏洞，攻击者可以利用该漏洞以任何用户身份登录，包括管理员。

该漏洞没有标识符，只需一次 HTTP 请求即可轻松利用。它影响 phpBB 版本 4.0.0-a2 或 3.3.16 及更低版本。

应用安全公司 Aikido 的研究人员于 6 月 2 日发现了该漏洞，并通过开发者的 HackerOne 漏洞披露计划报告了该漏洞。

phpBB 立即对该报告作出回应，并在 6 月 6 日的软件版本 3.3.17中解决了该问题。

据 Aikido 称，该漏洞于 10 年前被引入 phpBB 的代码库，影响了 3.x 和 4.x 版本分支的所有版本，直至 3.3.16 和 4.0.0-a2。对于 4.x 版本，目前还没有可用的修复程序。

phpBB 是一个基于 PHP 的免费开源网络论坛平台，在 2000 年代和 2010 年代初期风靡一时。如今，它仍然为全球数千个论坛提供支持。

Aikido表示，利用该漏洞无需任何特殊配置，因为在默认设置下即可触发。

Aikido 的报告写道：该漏洞在默认配置下即可被利用，无需任何特殊知识。

如果您使用的是 4.0.0-a2 或 3.3.16 及以下版本，请立即分别升级到 master 分支（目前还没有安全的 4.x 版本）和 3.3.17 版本，以避免出现问题。

管理员权限可能允许攻击者查看论坛上存储的所有私人消息，创建、修改或删除内容和用户帐户，冒充工作人员，或篡改网站。

选择目标也很简单，因为 phpBB 论坛的成员列表默认是公开的。

Aikido 指出，由于管理员控制面板受到单独的密码检查保护，因此远程代码执行 (RCE) 是不可能的。

研究人员暂时隐瞒了所有技术细节，以便论坛管理员有足够的时间应用安全更新，甚至联系了大型基于 phpBB 的论坛的管理员，直接提醒他们。

需要注意的是，此次更新可能会导致使用 OAuth 身份验证的论坛出现故障，因为 OAuth 重定向处理程序已移至新位置，但在大多数情况下，这应该很容易修复。

合气道协会承诺将在未来的报告中公布该缺陷的全部细节，但没有提供具体的时间表。

信息来源：BleepingComputer