USARE A PROPRIO RISCHIO.

Questo strumento è fornito esclusivamente per ricerche di sicurezza autorizzate, test di penetrazione e scopi educativi. Eseguilo solo contro sistemi di tua proprietà o per i quali hai un'autorizzazione esplicita e scritta.

L'autore non è responsabile né risponde di qualsiasi uso illegale o non etico di questo strumento, né di eventuali conseguenze derivanti da tale uso. Ogni responsabilità legale ed etica su come questo strumento viene utilizzato ricade esclusivamente sulla persona che lo esegue — l'autore non partecipa, approva o tollera l'uso non autorizzato di questo software.

phpBB ha pubblicato CVE-2026-48611 con un documento tecnico sul bug, ma nessun exploit automatizzato funzionante era disponibile pubblicamente, tranne i dettagli del payload nell'avviso di Pentest-Tools.com — tutto il resto era manuale, test sporadici. Questo colma il divario: un singolo script che rileva un'installazione phpBB vulnerabile, individua il suo pannello di login ed esegue il bypass vero e proprio dall'inizio alla fine.

Crediti

Questa vulnerabilità è stata scoperta e divulgata in modo responsabile da Dan Stefan Alexandru del team di ricerca sulla sicurezza di Pentest-Tools.com, segnalata a phpBB il 4 giugno 2026. Questo repository è un PoC automatizzato indipendente costruito dall'avviso pubblico — non è affiliato a Pentest-Tools.com o phpBB.

Come funziona la vulnerabilità (in termini semplici)

phpBB supporta l'accesso tramite un provider di identità esterno (OAuth) invece di una password locale — il meccanismo di autenticazione di Apache è uno dei provider supportati. L'endpoint che gestisce questo, ucp.php?mode=login_link&auth_provider=apache, prende il nome utente direttamente dall'header HTTP Authorization: Basic e avvia una sessione autenticata per quell'utente.

Il bug: non controlla mai effettivamente la parte della password di quell'header. Un login normale ti rifiuta se la password è sbagliata. Questo non lo fa — si fida di qualsiasi nome utente dichiari e ti fa accedere come quello, indipendentemente dal valore della password che invii. Qualsiasi nome utente registrato più una password inventata è sufficiente per ottenere una sessione completamente autenticata.

• Interessati: phpBB 3.3.0 – 3.3.16
• Corretto in: 3.3.17 (rilasciato il 2026-06-06)
• Impatto: compromissione totale dell'account di qualsiasi nome utente noto, senza bisogno di password

Cosa fa effettivamente lo strumento

• Rileva la versione di phpBB senza autenticazione — legge styles/prosilver/style.cfg, composer.json, styles/subsilver2/style.cfg o feed.php, provando ciascuno a turno finché uno non rivela una stringa di versione.
• Trova ucp.php da solo se gli fornisci solo un dominio nudo — prima una scansione limitata dello stesso dominio, poi ripiega su percorsi di installazione comuni (forum/, board/, phpBB3/, ecc.).
• Consapevole di Cloudflare — la modalità di fetch predefinita passa attraverso Chromium reale (Playwright) così le sfide JS hanno la possibilità di risolversi; aggiungi --no-browser per richieste HTTP semplici più veloci quando il target non è protetto da sfide. Prova anche a trovare l'IP di origine reale e non-Cloudflare di un dominio (tramite ricerche di trasparenza dei certificati crt.name + sondaggio di sottodomini admin/mail comuni) e instrada le richieste direttamente lì quando uno viene confermato.
• Esegue il bypass effettivo una volta confermata una versione vulnerabile — invia la richiesta costruita, verifica che la sessione risultante si sia effettivamente autenticata come utente target (non solo un 200/302), e stampa un URL pronto da incollare che carica il forum pre-autenticato come quell'utente in qualsiasi browser.

Installazione

git clone https://github.com/Ethicalgrey/phpBB-CVE-2026-48611.git
cd phpBB-CVE-2026-48611
chmod +x install.sh
./install.sh

install.sh è una configurazione una tantum — installa tutto ciò di cui lo script ha bisogno (requests, urllib3, playwright + il suo browser Chromium) direttamente nel tuo ambiente utente, senza ambiente virtuale da attivare e senza configurazione da ripetere. Una volta terminato, python3 CVE-2026-48611.py ... funziona semplicemente, ogni volta, da qualsiasi nuovo terminale.

Utilizzo

# singolo target, dominio nudo — trova ucp.php, rileva la versione, chiede un
# nome utente se vulnerabile
python3 CVE-2026-48611.py -u example.com

# stesso, ma scopri automaticamente un nome utente dalla memberlist pubblica
# invece di digitarlo
python3 CVE-2026-48611.py -u example.com --auto

# modalità HTTP semplice più veloce, senza Chromium — usa quando il target non
# ha una sfida JS stile Cloudflare davanti
python3 CVE-2026-48611.py -u example.com --no-browser

# esegui il browser visibilmente (necessario se una sfida JS richiede un clic umano)
python3 CVE-2026-48611.py -u example.com --headed

# un elenco di host, uno per riga — ogni host vulnerabile richiede comunque
# conferma individuale prima che l'exploit venga eseguito
python3 CVE-2026-48611.py -l targets.txt

# salta la verifica TLS (target con certificati self-signed / rotti)
python3 CVE-2026-48611.py -u example.com -k

-u/--url e -l/--list si escludono a vicenda. --auto funziona solo con -u/--url — è deliberatamente non supportato in modalità elenco, così un'esecuzione batch non attiva mai l'exploit senza che un umano confermi prima ogni target.