محققان امنیتی در نرم افزار ایجاد انجمن در اینترنت با نام vBulletin دو آسیب پذیری حیاتی کشف کردند که در آخرین نسخه از این نرم افزار وجود داشته و مهاجم با بهره برداری از آن، از راه دور می تواند بر روی سرور این نرم افزار به اجرای کدهای مخرب بپردازد. این نرم افزار در سطح اینترنت برای ایجاد انجمن ها مورد استفاده قرار گرفته و مبتنی بر PHP و سرور پایگاه داده ی MySQL است و گفته می شود در اینترنت نزدیک به ۱۰۰ هزار وب سایت با استفاده از این نرم افزار ایجاد شده اند. این آسیب‌پذیری‌ها توسط یک محقق از یک شرکت ایتالیایی و یک محقق ناشناس دیگر کشف و جزئیات آن منتشر شده است.
این آسیب‌پذیری‌ها نسخه‌ی ۵ از نرم‌افزار vBulletin را تحت تاثیر قرار داده‌اند و در حال حاضر وصله نشده‌اند. این محققان اعلام کردند از تاریخ ۲۱ نوامبر در تلاش هستند تا با این شرکت تماس برقرار کرده و آسیب‌پذیری‌ها را گزارش دهند ولی تاکنون هیچ پاسخی از طرف این شرکت دریافت نکرده‌اند.
اولین آسیب‌پذیری که در این نرم‌افزار کشف شده یک اشکال ورودی فایل است که به مهاجم اجازه‌ی اجرای کد از راه دور را می‌دهد و مهاجم با بهره‌برداری از آن می تواند فایل‌های مخرب خود را بر روی سرور این نرم‌افزار آپلود کرده و کدهای مخرب PHP را اجرا کند.
یک مهاجم غیرمجاز می‌تواند از این آسیب‌پذیری بهره‌برداری کرده و یک درخواست GET به فایل index.php با پارامتر routestring= در این درخواست ارسال کند و این باعث می‌شود تا به نرم‌افزارهایی که بر روی سیستم عامل ویندوز نصب شده‌اند، بتوان هر درخواست جعلی را ارسال کرد. محققان برای نشان دادن بهره‌برداری از این آسیب‌پذیری، یک کد اثبات مفهومی نیز منتشر کرده‌اند. هنوز شناسه‌ی CVE به این آسیب‌پذیری اختصاص داده نشده است.
آسیب‌پذیری دوم دارای شناسه‌ی CVE-2017-17672 بوده و یک اشکال دی‌سریال کردن محسوب می‌شود. مهاجم غیرمجاز، با بهره‌برداری از آن می‌تواند فایل‌های دلخواه بر روی سرور را حذف کرده و به اجرای کدهای مخرب دلخواه بپردازد. این آسیب‌پذیری به این دلیل وجود دارد که در ورودی‌هایی که کاربر وارد می‌کند، به‌طور مناسب از تابع ()unserialize استفاده نمی‌شود. انتظار می‌رود این شرکت پیش از اینکه مهاجمان از این آسیب‌پذیری‌ها بهره‌برداری کنند، وصله‌هایی را ارائه دهند.
