Обнаруженная уязвимость в "движке" форума phpBB 2.0.17 (и предыдущих версиях) позволяет злоумышленнику включать в сообщение форума произвольные скрипты и HTML код, причиной этого стала некорректная обработка содержимого BBCode "[IMG]". Т.е. для примера, если отправить сообщение, используя следующий код: "[img]http://theremotehost.com/exploit.jpg[/img]", где "exploit.jpg" будет занимать переименованный любой HTML-файл на другом сервере, при просмотре страницы содержащей это сообщения, этот файл будет выполнен на компьютере пользователя.
SecurityFocus