https://cyberveille.ch/tags/phpbb/ Recent content in PhpBB on CyberVeille Hugo -- 0.146.0 fr-fr Cyberveille CC BY-NC-SA 4.0 Sat, 13 Jun 2026 00:00:00 +0000 https://cyberveille.ch/posts/2026-06-13-vulnerabilite-critique-d-authentification-dans-phpbb-affectant-des-millions-d-utilisateurs/ Sat, 13 Jun 2026 00:00:00 +0000 https://cyberveille.ch/posts/2026-06-13-vulnerabilite-critique-d-authentification-dans-phpbb-affectant-des-millions-d-utilisateurs/ <h2 id="-contexte">🗓️ Contexte</h2> <p>Publié le 10 juin 2026 par Jorian Woltjer sur le blog d&rsquo;Aikido Security, cet article révèle la découverte d&rsquo;une <strong>vulnérabilité critique de contournement d&rsquo;authentification</strong> dans le logiciel de forum open-source <strong>phpBB</strong>, découverte via l&rsquo;outil de pentest automatisé <strong>Aikido Attack</strong>.</p> <h2 id="-nature-de-la-vulnérabilité">🔍 Nature de la vulnérabilité</h2> <ul> <li><strong>Type</strong> : Authentication Bypass (contournement d&rsquo;authentification)</li> <li><strong>Vecteur</strong> : Une seule requête HTTP non authentifiée suffit à obtenir une session valide en tant que n&rsquo;importe quel utilisateur</li> <li><strong>Versions affectées</strong> : phpBB <strong>≤ 3.3.16</strong> et <strong>4.0.0-a2</strong></li> <li><strong>Configuration requise</strong> : Configuration par défaut, aucune connaissance particulière nécessaire</li> <li><strong>Exploitation de la liste des membres</strong> : publique par défaut, facilitant le ciblage</li> </ul> <h2 id="-impact">💥 Impact</h2> <ul> <li><strong>Compte standard</strong> : accès aux messages privés et à tout le contenu accessible</li> <li><strong>Compte administrateur</strong> : accès complet en lecture, écriture et suppression sur l&rsquo;ensemble du forum, usurpation d&rsquo;identité, fuite de conversations privées</li> <li><strong>RCE non possible</strong> : un second contrôle de mot de passe protège l&rsquo;Admin Control Panel (ACP), limitant l&rsquo;impact à la prise de contrôle de compte administrateur</li> </ul> <h2 id="-timeline">📅 Timeline</h2> <ul> <li><strong>2 juin 2026, 20h22</strong> : Rapport soumis au programme VDP de phpBB sur HackerOne</li> <li><strong>2 juin 2026, 20h31</strong> : Triage effectué par l&rsquo;équipe phpBB (9 minutes)</li> <li><strong>6 juin 2026, 16h26</strong> : Publication du patch dans la version <strong>3.3.17</strong></li> </ul> <h2 id="-correctif">🛠️ Correctif</h2> <ul> <li><strong>Version corrigée</strong> : phpBB <strong>3.3.17</strong> (branche 3.x) ; aucune version 4.x sûre disponible à ce jour</li> <li>Changement mineur : le gestionnaire de redirection OAuth est désormais à <code>/user/oauth/authenticate/...</code></li> </ul> <h2 id="-type-darticle">📰 Type d&rsquo;article</h2> <p>Il s&rsquo;agit d&rsquo;un rapport de vulnérabilité publié par le chercheur ayant découvert la faille, visant à informer les administrateurs de l&rsquo;existence du problème et de la disponibilité d&rsquo;un correctif, tout en retenant les détails techniques pour laisser le temps aux instances de se mettre à jour.</p>