受影響系統：phpBB Group phpBB 2.0.3

描述：BUGTRAQ ID: 6195

CVE(CAN) ID: CVE-2002-1894

phpBB是一款免費開放源代碼的WEB論壇/社區程序，由php語言實現，可以運行在unix/linux、MacOS、Microsoft Windows系統下。

phpBB包含的viewtopic.php腳本對用戶提交的輸入缺少充分過濾，遠程攻擊者可以利用這個漏洞利用在論壇上發貼對其他瀏覽用戶進行跨站腳本執行攻擊。

viewtopic.php腳本對用戶提交的$highlight變量內容缺少過濾，提交包含惡意腳本代碼的數據，并誘使用戶點擊此鏈接，可導致腳本代碼在用戶瀏覽器中執行，借此可以得到用戶基于Cookie認證的敏感信息。

<*來源：Arab VieruZ (arabviersus@hotmail.com)

鏈接：http://marc.theaimsgroup.com/?l=bugtraq&m=103765783108783&w=2

*>

建議：臨時解決方法：

如果您不能立刻安裝補丁或者升級，NSFOCUS建議您采取以下措施以降低威脅：

* Arab VieruZ 提供如下第三方補?。?/p>

打開viewtopic.php腳本，輸入如下代碼：

$highlight = htmlspecialchars($highlight);

$highlight = PREG_Replace("/[A-Z&.;:()~!@#$%^''*/{/}//]/i", "", $highlight);

廠商補丁：phpBB Group

目前廠商還沒有提供補丁或者升級程序，我們建議使用此軟件的用戶隨時關注廠商的主頁以獲取最新版本：
http://www.phpbb.com