PHPraider ist eine Verwaltungs Software für „Raids“. Raids sind Schlachten bzw. Raubzüge die im Zuge von World of Warcraft (Wow) häufig stattfinden.

Zur einfachen Koordination gibt es phpraid, auf WoW Clan bzw. Team Seiten wird es gerne mit dem ebenfalls in PHP programmierten phpBB gerne eingesetzt. Offenbar gibt es in genau dieser Konstellation phpraid und phpbb3 eine schwerwiegende Sicherheitslücke: Die Variable pConfig_auth[phpbb_path] kann von außen überschrieben werden.Das führt dazu, dass nun externer Code zur Ausführung geladen werden kann – und somit quasi eine remote Shell zur Verfügung gestellt wird. In Logdateien können solche Zeilen auf einen Einbruchsversuch hindeuten:

GET /authentication/phpbb3/phpbb3.functions.php?pConfig_auth[phpbb_path]=http://

Entsprechende Sicherheitsvorkehrungen sollten getroffen werden. (Register_globals aus, URL’s in open aufrufen deaktivieren, per htaccess schützen, updaten). Es handelt sich nicht um eine Sicherheitslücke in phpBB3!