CVE:CVE-2008-1766
CNNVD:CNNVD-200804-171
phpBB是非常流行的WEB论坛程序 。
phpBB没有对成员列表功能实施充分的访问限制，如果攻击者拥有有效的用户凭据并能够查看成员列表页面的话，就可以通过邮件地址搜索成员列表，这样就通过地址连接到了帐号 。
phpBB没有对PM附件功能实施充分的访问限制，如果攻击者拥有有效的用户凭据、可以查看PM系统中的附件并知道附件ID的话，就可以查看其他用户的附件 。
solution:Upgrade phpbb phpbb to a higher version than *:rc8,3.0.0:rc3,3.0.0:rc4,3.0.0:rc5,3.0.0:rc6,3.0.0:rc7,3.0.0rc:1,3.0.0rc:2,and avoid the version *:rc8,3.0.0:rc3,3.0.0:rc4,3.0.0:rc5,3.0.0:rc6,3.0.0:rc7,3.0.0rc:1,3.0.0rc:2