Уязвимости phpBB: Межсайтовый скриптинг в phpBB

Обнаружена уязвимость в phpBB последней версии 2.0.21. Удаленный пользователь может произвести XSS нападение и CSRF атаку. Как видно из сообщения об уязвимости, XSS нападение возможно через сервис личных сообщений (private messages).

Опасность: Низкая.
Способов устранения уязвимости на данный момент не существует.

Важность настроек хостинга

Уж сколько раз твердили миру... тем не менее находятся люди (особенно обидно, если это хостеры), которые все еще включают на хостинге register_globals. Данная проблема хорошо описана на сайте PHP, причем с примерами взлома, причем в 2003 году! Тем не менее через эту дырку постоянно ломают сайты.

В статье "Поиск PHP уязвимостей на примере phpBB" прекрасно описан процесс взлома с использованием этой уязвимости. Надеюсь, это поможет предотвратить проблемы подобного рода на вашем хостинге.