В настоящее время хакеры для обнаружения полного пути до скрипта пользуются отсутствием проверки переменной на массив перед вызовом функции htmlspecialchars(), preg_match() и тому подобных. Особенно те переменные которые передаются скрипту из вне методом POST или GET.
В результате чего, сконфигурировав правильно запрос, злоумышленник увидит полный путь!

Т.к. phpNuke и phpBB как и многие скрипты не обладают такой проверкой, то самой правильной и нужной, для тех кто еще не сделал это, просто запретить вывод ошибок php на экран, для этого добавьте строчку в файл config.php: