文章总结： 开源网络论坛phpbb修复一个潜伏十年的身份验证绕过漏洞，影响3.3.16及以下版本和4.0.0-a2版本，攻击者可利用该漏洞以任意用户身份登录获取管理员权限，建议受影响版本立即升级至3.3.17或master分支。 综合评分： 91 文章分类： 漏洞预警,应用安全,web安全

开源网络论坛 phpBB 论坛修复了潜伏十年的身份验证绕过漏洞

Rhinoer Rhinoer

犀牛安全

2026年6月27日 00:00 北京

在小说阅读器读本章

去阅读

phpBB 论坛软件中发现了一个存在 10 年的身份验证绕过漏洞，攻击者可以利用该漏洞以任何用户身份登录，包括管理员。

该漏洞没有标识符，只需一次 HTTP 请求即可轻松利用。它影响 phpBB 版本 4.0.0-a2 或 3.3.16 及更低版本。

应用安全公司 Aikido 的研究人员于 6 月 2 日发现了该漏洞，并通过开发者的 HackerOne 漏洞披露计划报告了该漏洞。

phpBB 立即对该报告作出回应，并在 6 月 6 日的软件版本 3.3.17中解决了该问题。

据 Aikido 称，该漏洞于 10 年前被引入 phpBB 的代码库，影响了 3.x 和 4.x 版本分支的所有版本，直至 3.3.16 和 4.0.0-a2。对于 4.x 版本，目前还没有可用的修复程序。

phpBB 是一个基于 PHP 的免费开源网络论坛平台，在 2000 年代和 2010 年代初期风靡一时。如今，它仍然为全球数千个论坛提供支持。

Aikido表示，利用该漏洞无需任何特殊配置，因为在默认设置下即可触发。

Aikido 的报告写道：该漏洞在默认配置下即可被利用，无需任何特殊知识。

如果您使用的是 4.0.0-a2 或 3.3.16 及以下版本，请立即分别升级到 master 分支（目前还没有安全的 4.x 版本）和 3.3.17 版本，以避免出现问题。

管理员权限可能允许攻击者查看论坛上存储的所有私人消息，创建、修改或删除内容和用户帐户，冒充工作人员，或篡改网站。

选择目标也很简单，因为 phpBB 论坛的成员列表默认是公开的。

Aikido 指出，由于管理员控制面板受到单独的密码检查保护，因此远程代码执行 (RCE) 是不可能的。

研究人员暂时隐瞒了所有技术细节，以便论坛管理员有足够的时间应用安全更新，甚至联系了大型基于 phpBB 的论坛的管理员，直接提醒他们。

需要注意的是，此次更新可能会导致使用 OAuth 身份验证的论坛出现故障，因为 OAuth 重定向处理程序已移至新位置，但在大多数情况下，这应该很容易修复。

合气道协会承诺将在未来的报告中公布该缺陷的全部细节，但没有提供具体的时间表。

信息来源：BleepingComputer

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：犀牛安全 Rhinoer Rhinoer《开源网络论坛 phpBB 论坛修复了潜伏十年的身份验证绕过漏洞》