PT-2026-36770 · Phpbb · Phpbb

Publicado 2026-05-04 · Atualizado 2026-05-29 · CVE-2026-29199

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.1

Alta

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas phpBB versões anteriores a 3.3.16

Descrição Ocorre uma Injeção de Cabeçalho Host (Host Header Injection) quando a opção force server vars está desativada, permitindo que o nome do host do servidor seja extraído do cabeçalho HTTP Host para gerar URLs de links de redefinição de senha. Um invasor capaz de manipular o cabeçalho Host, possivelmente através da falta de validação de cabeçalho pelo servidor web ou configuração de host incorreta, pode fazer com que os e-mails de redefinição de senha contenham links apontando para um domínio controlado pelo invasor, o que pode levar à invasão de contas.

Recomendações Atualize para a versão 3.3.16 ou posterior. Ative a configuração force server vars para evitar o uso do cabeçalho HTTP Host na geração de URLs.

Correção

Enumeração de Fraquezas

CWE-640

Identificadores relacionados

CVE-2026-29199

GHSA-7GM6-W7MX-58CR

Produtos afetados

Phpbb

Referências · 10

• https://github.com/phpbb/phpbb-app · Nota
• https://osv.dev/vulnerability/GHSA-7gm6-w7mx-58cr · Aviso do Fabricante
• https://twitter.com/ADKCyber/status/2055496310761849316 · Publicação no Twitter
• https://phpbb.com/community/viewtopic.php?t=2671024 · Nota
• https://t.me/cveNotify/165178 · Publicação no Telegram
• https://twitter.com/dailycve/status/2060367705941704869 · Publicação no Twitter
• https://blog.phpbb.com/2026/04/27/phpbb-4-0-0-a2-release · Nota
• https://hackerone.com/reports/3543246 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-29199 · Nota de Segurança
• https://t.me/cveNotify/161994 · Publicação no Telegram