CVE-2024-57041
ŚrednieCVSS 4.6Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 98 - wyżej niż 98% wszystkich znanych CVE
Streszczenie
W NodeBB w wersji 3.11.0 wykryto podatność na trwałe cross-site scripting (XSS). Atakujący może przechowywać dowolny kod JavaScript w sekcji 'O mnie' swojego profilu.
Ocena ryzyka
Ryzyko polega na możliwości wykonania złośliwego skryptu w przeglądarkach innych użytkowników odwiedzających profil atakującego, co może prowadzić do kradzieży sesji, przejęcia konta lub wycieku danych.
Rekomendacja
Należy natychmiast zaktualizować NodeBB do najnowszej dostępnej wersji, która zawiera poprawkę dla tej podatności. Dodatkowo warto wdrożyć filtrowanie wejścia i kodowanie wyjścia dla pól profilu.
Inne podatności w NodeBB
Zobacz wszystkie- CVE-2025-29513Średnie
Podatność Cross-Site Scripting (XSS) w NodeBB w wersji 4.0.4 i wcześniejszych umożliwia zdalnym atakującym przechowywanie dowolnego kodu w generatorze tokenów dostępu API administratora.
- CVE-2026-73038Średnie
NodeBB przed wersją 4.15.0 zawiera podatność na trwały cross-site scripting w funkcji renderEmoji, która nie ucieka z atrybutów tag.icon.url i tag.name. Atakujący mogą dostarczyć złośliwe obiekty ActivityPub Create/Note ze spreparowanymi tagami emoji, aby wstrzyknąć dowolny HTML i JavaScript do treści postów, wykonując kod w przeglądarkach wszystkich widzów.
- CVE-2026-58593Wysokie
Podatność w NodeBB umożliwia zdalnemu atakującemu podszywanie się pod dowolnego lokalnego użytkownika, w tym administratora, poprzez wysyłanie sfabrykowanych postów i prywatnych wiadomości za pomocą protokołu ActivityPub. Problem wynika z braku weryfikacji, czy uwierzytelniony zdalny aktor jest faktycznym autorem obiektu ActivityPub.
- CVE-2025-29512Średnie
Podatność Cross-Site Scripting (XSS) w NodeBB w wersji 4.0.4 i wcześniejszych umożliwia zdalnym atakującym przechowywanie dowolnego kodu JavaScript, co może uniemożliwić działanie funkcji czarnej listy IP do czasu usunięcia złośliwej treści z bazy danych.
Oryginalny opis (angielski, źródło NVD)
A persistent cross-site scripting (XSS) vulnerability in NodeBB v3.11.0 allows remote attackers to store arbitrary code in the 'about me' section of their profile.