NUTZUNG AUF EIGENE GEFAHR.

Dieses Tool ist ausschließlich für autorisierte Sicherheitsforschung, Penetrationstests und Bildungszwecke bestimmt. Führen Sie es nur gegen Systeme aus, die Ihnen gehören oder für die Sie eine ausdrückliche, schriftliche Genehmigung zum Testen haben.

Der Autor ist nicht verantwortlich oder haftbar für jegliche illegale oder unethische Nutzung dieses Tools oder für Konsequenzen, die aus einer solchen Nutzung resultieren. Die gesamte rechtliche und ethische Verantwortung für die Art und Weise, wie dieses Tool betrieben wird, liegt ausschließlich bei der Person, die es ausführt – der Autor beteiligt sich nicht an unbefugter Nutzung dieser Software, befürwortet sie nicht und duldet sie nicht.

phpBB veröffentlichte CVE-2026-48611 mit einem technischen Bericht über den Fehler, aber kein funktionierender automatisierter Exploit war öffentlich verfügbar – außer den Payload-Details in Pentest-Tools.coms eigener Advisory – alles andere war manuelles, einmaliges Testen. Dies schließt diese Lücke: ein einzelnes Skript, das eine verwundbare phpBB-Installation erkennt, deren Login-Panel lokalisiert und den tatsächlichen Bypass Ende-zu-Ende ausführt.

Anerkennung

Diese Schwachstelle wurde von Dan Stefan Alexandru vom Pentest-Tools.com-Sicherheitsforschungsteam entdeckt und verantwortungsvoll offengelegt und am 4. Juni 2026 an phpBB gemeldet. Dieses Repository ist ein unabhängiger, automatisierter PoC, der aus der öffentlichen Advisory erstellt wurde – er ist weder mit Pentest-Tools.com noch mit phpBB verbunden.

Wie die Schwachstelle funktioniert (in einfachen Worten)

phpBB unterstützt die Anmeldung über einen externen Identitätsanbieter (OAuth) anstelle eines lokalen Passworts – Apaches eigener Authentifizierungsmechanismus ist einer der unterstützten Anbieter. Der Endpunkt, der dies verarbeitet, ucp.php?mode=login_link&auth_provider=apache, übernimmt den Benutzernamen direkt aus dem HTTP-Authorization: Basic-Header und startet eine authentifizierte Sitzung für diesen Benutzer.

Der Fehler: Er überprüft tatsächlich nie die Passwort-Hälfte dieses Headers. Eine normale Anmeldung lehnt Sie ab, wenn das Passwort falsch ist. Dieser hier nicht – er vertraut jedem Benutzernamen, den Sie angeben, und meldet Sie als diesen an, unabhängig davon, welchen Passwortwert Sie senden. Jeder registrierte Benutzername plus ein erfundenes Passwort reicht aus, um eine vollständig authentifizierte Sitzung zu erhalten.

• Betroffen: phpBB 3.3.0 – 3.3.16
• Behoben in: 3.3.17 (veröffentlicht am 06.06.2026)
• Auswirkung: vollständige Übernahme jedes bekannten Benutzerkontos, kein Passwort erforderlich

Was das Tool tatsächlich tut

• Erkennt die phpBB-Version ohne Authentifizierung – liest styles/prosilver/style.cfg, composer.json, styles/subsilver2/style.cfg oder feed.php und versucht jede der Reihe nach, bis eine eine Versionszeichenfolge preisgibt.
• Findet ucp.php von selbst, wenn Sie ihm nur eine nackte Domain geben – begrenzter Same-Origin-Crawl zuerst, dann Rückgriff auf das Testen gängiger Installationspfade (forum/, board/, phpBB3/ usw.).
• Cloudflare-bewusst – der Standard-Fetch-Modus läuft durch echtes Chromium (Playwright), sodass JS-Challenges eine Chance zum Auflösen bekommen; fügen Sie --no-browser für schnellere Plain-HTTP-Anfragen hinzu, wenn das Ziel nicht challenge-geschützt ist. Versucht auch, die echte, nicht-Cloudflare-Origin-IP einer Domain zu finden (über crt.name-Zertifikatstransparenz-Abfragen + Tests gängiger Admin-/Mail-Subdomains) und leitet Anfragen direkt dorthin, wenn eine bestätigt wird.
• Führt den tatsächlichen Bypass aus, sobald eine verwundbare Version bestätigt ist – sendet die konstruierte -Anfrage, verifiziert, dass die resultierende Sitzung tatsächlich als Zielbenutzer authentifiziert wurde (nicht nur ein 200/302), und gibt eine bereit-zum-Einfügen-URL aus, die das Forum in jedem Browser vorauthentifiziert als diesen Benutzer lädt.

Installation

git clone https://github.com/Ethicalgrey/phpBB-CVE-2026-48611.git
cd phpBB-CVE-2026-48611
chmod +x install.sh
./install.sh

install.sh ist eine einmalige Einrichtung – es installiert alles, was das Skript benötigt (requests, urllib3, playwright + dessen Chromium-Browser) direkt in Ihre Benutzerumgebung, keine virtuelle Umgebung zum Aktivieren und keine Einrichtung zum Wiederholen. Sobald es abgeschlossen ist, funktioniert python3 CVE-2026-48611.py ... einfach jedes Mal aus jedem neuen Terminal.

Verwendung

# einzelnes Ziel, nackte Domain – findet ucp.php, erkennt Version, fordert zur
# Eingabe eines Benutzernamens auf, wenn verwundbar
python3 CVE-2026-48611.py -u example.com

# dasselbe, aber entdeckt automatisch einen Benutzernamen aus der öffentlichen
# Mitgliederliste, anstatt einen einzutippen
python3 CVE-2026-48611.py -u example.com --auto

# schnellerer Plain-HTTP-Modus, kein Chromium – verwenden Sie dies, wenn das Ziel
# keine Cloudflare-artige JS-Challenge davor hat
python3 CVE-2026-48611.py -u example.com --no-browser

# führt den Browser sichtbar aus (erforderlich, wenn eine JS-Challenge einen
# menschlichen Klick erfordert)
python3 CVE-2026-48611.py -u example.com --headed

# eine Liste von Hosts, einer pro Zeile – jeder verwundbare Host fordert dennoch
# individuell zur Bestätigung auf, bevor der Exploit ausgeführt wird
python3 CVE-2026-48611.py -l targets.txt

# überspringt die TLS-Verifizierung (Ziele mit selbstsignierten / defekten Zertifikaten)
python3 CVE-2026-48611.py -u example.com -k

-u/--url und -l/--list schließen sich gegenseitig aus. --auto funktioniert nur mit -u/--url – es wird bewusst im Listenmodus nicht unterstützt, sodass ein Batch-Lauf den Exploit niemals auslöst, ohne dass ein Mensch jedes Ziel zuerst bestätigt.