CVE-2025-29513

ŚrednieCVSS 6.1

Opublikowano: 18/04/2025(UTC)Zaktualizowano: 05/07/2026(UTC)Przetłumaczono: 06/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Bardzo wysokie ryzyko

14.77%

Percentyl 96 - wyżej niż 96% wszystkich znanych CVE

Streszczenie

Podatność Cross-Site Scripting (XSS) w NodeBB w wersji 4.0.4 i wcześniejszych umożliwia zdalnym atakującym przechowywanie dowolnego kodu w generatorze tokenów dostępu API administratora.

Ocena ryzyka

Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarkach administratorów, prowadząc do kradzieży sesji, modyfikacji ustawień lub kradzieży danych.

Rekomendacja

Zaleca się natychmiastową aktualizację NodeBB do wersji nowszej niż 4.0.4 oraz wdrożenie filtrowania wejścia i kodowania wyjścia dla danych wprowadzanych w generatorze tokenów API.

Oryginalny opis (angielski, źródło NVD)

Cross-Site Scripting (XSS) vulnerability in NodeBB v4.0.4 and before allows remote attackers to store arbitrary code in the admin API Access token generator.