CVE-2025-29513
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 96 - wyżej niż 96% wszystkich znanych CVE
Streszczenie
Podatność Cross-Site Scripting (XSS) w NodeBB w wersji 4.0.4 i wcześniejszych umożliwia zdalnym atakującym przechowywanie dowolnego kodu w generatorze tokenów dostępu API administratora.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarkach administratorów, prowadząc do kradzieży sesji, modyfikacji ustawień lub kradzieży danych.
Rekomendacja
Zaleca się natychmiastową aktualizację NodeBB do wersji nowszej niż 4.0.4 oraz wdrożenie filtrowania wejścia i kodowania wyjścia dla danych wprowadzanych w generatorze tokenów API.
Inne podatności w NodeBB
Zobacz wszystkie- CVE-2024-57041Średnie
W NodeBB w wersji 3.11.0 wykryto podatność na trwałe cross-site scripting (XSS). Atakujący może przechowywać dowolny kod JavaScript w sekcji 'O mnie' swojego profilu.
- CVE-2026-73038Średnie
NodeBB przed wersją 4.15.0 zawiera podatność na trwały cross-site scripting w funkcji renderEmoji, która nie ucieka z atrybutów tag.icon.url i tag.name. Atakujący mogą dostarczyć złośliwe obiekty ActivityPub Create/Note ze spreparowanymi tagami emoji, aby wstrzyknąć dowolny HTML i JavaScript do treści postów, wykonując kod w przeglądarkach wszystkich widzów.
- CVE-2026-58593Wysokie
Podatność w NodeBB umożliwia zdalnemu atakującemu podszywanie się pod dowolnego lokalnego użytkownika, w tym administratora, poprzez wysyłanie sfabrykowanych postów i prywatnych wiadomości za pomocą protokołu ActivityPub. Problem wynika z braku weryfikacji, czy uwierzytelniony zdalny aktor jest faktycznym autorem obiektu ActivityPub.
- CVE-2025-29512Średnie
Podatność Cross-Site Scripting (XSS) w NodeBB w wersji 4.0.4 i wcześniejszych umożliwia zdalnym atakującym przechowywanie dowolnego kodu JavaScript, co może uniemożliwić działanie funkcji czarnej listy IP do czasu usunięcia złośliwej treści z bazy danych.
Oryginalny opis (angielski, źródło NVD)
Cross-Site Scripting (XSS) vulnerability in NodeBB v4.0.4 and before allows remote attackers to store arbitrary code in the admin API Access token generator.