涉及程序： phpBB 2.0.3 描述： phpBB 远程跨站脚本执行缺陷 详细： phpBB (http://www.phpbb.com)是一款在MySQL数据库上的，用PHP后端语言编写的开放源代码的WEB论坛/社区程序，可以运行在 unix/linux、MacOS、Windows 系统下。 phpBB 包含的 viewtopic.php 脚本对用户提交的输入缺乏充分过滤，远程攻击者可以利用此缺陷通过在论坛上发贴引诱用户浏览，进行跨站脚本执行攻击。 viewtopic.php 脚本对用户提交的$highlight变量内容缺乏过滤，通过提交含有恶意脚本代码的数据，并诱使用户点击此链接，可导致脚本代码在用户浏览器中执行，窃取到用户基于Cookie认证的敏感信息。 受影响系统： phpBB 2.0.3 攻击方法： 第三方补丁(打开viewtopic.php脚本，添加如下代码)： $highlight = htmlspecialchars($highlight); $highlight = PREG_Replace(\"//i\", \"\", $highlight); 解决方案： http://phpbb.com/phpBB/viewtopic.php?t=17071&highlight=\">"