phpBB: Reflektiertes Cross-Site-Scripting im Registrierungsmodul
Zusammenfassung
Die Forensoftware phpBB enthält im Registrierungsmodul ein reflektiertes Cross-Site-Scripting (XSS) aufgrund ungenügender Bereinigung von Eingaben (CWE-79). Ein Angreifer kann einen präparierten Link erstellen, der beim Öffnen durch einen Benutzer Skriptcode im Browser ausführt, wodurch Sitzungsdaten offengelegt und Aktionen im Konto des Opfers ausgeführt werden können. Zum Versenden des Links ist kein Konto nötig, das Opfer muss jedoch mit dem Link interagieren. Der Hersteller hat das Problem in Version 3.3.19 behoben; die Version 3.3.18 enthielt aufgrund eines Paketierungsfehlers die angekündigten Korrekturen nicht.
Betroffen
- phpBB 3.3.0 bis und mit 3.3.18
- Andere Versionszweige: Unbekannt.
Behoben in
- phpBB 3.3.19 (Sicherheitshinweis des Herstellers: phpBB 3.3.19 Dringendes Update)
- Hinweis: Die Downloads von 3.3.18 enthielten aufgrund eines Paketierungsfehlers die angekündigten Sicherheitskorrekturen nicht; Installationen von 3.3.18 müssen deshalb ebenfalls aktualisiert werden.
Umgehung
- Vom Hersteller für 3.3.18 und frühere Versionen nicht dokumentiert. Unbekannt.
- Das Aktualisieren auf 3.3.19 oder neuer ist die einzige bestätigte Abhilfe.
Ausnutzung
- Zum Zeitpunkt der Recherche wurde kein öffentlicher Proof of Concept gefunden.
- Nicht im Katalog der CISA Known Exploited Vulnerabilities (kein CISA-Eintrag für diese CVE gefunden).
- Keine bekannte Ausnutzung in freier Wildbahn.
Unsere Empfehlung
- Alle phpBB-Instanzen inventarisieren und prüfen, ob sie öffentlich erreichbar sind.
- Jede Instanz auf phpBB 3.3.19 oder neuer aktualisieren; sich nicht allein auf die Versionsnummer 3.3.18 verlassen.
- Die installierte Version direkt überprüfen, zum Beispiel im Administrationsbereich, da das Paketierungsproblem bei 3.3.18 die Versionsnummer allein unzuverlässig macht.
- Öffentlich erreichbare Foren priorisieren und bis zur Aktualisierung auf verdächtige Registrierungen und Links zu Forenseiten achten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- phpBB 3.3.19 urgent update (vendor advisory) www.phpbb.com
- phpBB 3.3.18 release announcement www.phpbb.com
- phpBB website www.phpbb.com
- Vulners CVE record vulners.com
- VulDB CVE entry vuldb.com
- Strix CVE entry www.strix.ai
- TheHackerWire vulnerability entry www.thehackerwire.com
- MidnightBSD mports packaging PR github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 13:15.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.