CVE-2025-29512
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Podatność Cross-Site Scripting (XSS) w NodeBB w wersji 4.0.4 i wcześniejszych umożliwia zdalnym atakującym przechowywanie dowolnego kodu JavaScript, co może uniemożliwić działanie funkcji czarnej listy IP do czasu usunięcia złośliwej treści z bazy danych.
Ocena ryzyka
Atakujący może wykraść sesje użytkowników, przekierować ich na złośliwe strony lub trwale zakłócić działanie mechanizmu blokowania IP, co zwiększa ryzyko dalszych ataków i utraty zaufania.
Rekomendacja
Należy niezwłocznie zaktualizować NodeBB do wersji 4.0.5 lub nowszej, a także usunąć wszelkie podejrzane treści z bazy danych oraz wdrożyć filtrowanie wejściowe i kodowanie wyjściowe.
Oryginalny opis (angielski, źródło NVD)
Cross-Site Scripting (XSS) vulnerability in NodeBB v4.0.4 and before allows remote attackers to store arbitrary code and potentially render the blacklist IP functionality unusable until content is removed via the database.