NodeBB vá 8 lỗ hổng bảo mật mức cao, có thể lộ quyền admin và tin nhắn riêng
"NodeBB patched eight high-severity security flaws discovered by AI pentest agents, affecting all versions before 4.14.0 and exposing risks such as admin dashboard access, private message/category disclosure, stored/reflective XSS, post takeover, vote inflation, and federation-based code injection. The issues were fixed across releases through 4.14.2, with the main page-text handling rewrite landing in 4.14.0; no CVEs were assigned to these eight flaws, though a separate federation issue was tracked as CVE-2026-58593."
Tác động có thể từ chiếm quyền admin đến lộ tin nhắn riêng và XSS dẫn tới thực thi mã trong trình duyệt; mức độ rủi ro cao do có thể xảy ra ngay cả khi không cần tài khoản trong một số kịch bản.
Nguy cơ gián đoạn dịch vụ và suy giảm niềm tin người dùng do khả năng lộ dữ liệu riêng tư, chiếm quyền nội dung và thao túng tương tác; cần thời gian kiểm thử sau nâng cấp lên 4.14.2 và cập nhật theme/plugin nếu có.
NodeBB đã phát hành bản vá cho 8 lỗ hổng bảo mật mức cao được Aikido Security phát hiện qua rà soát mã nguồn bằng tác nhân AI. Các vấn đề ảnh hưởng đến mọi phiên bản trước 4.14.0 và đã được khắc phục trong các bản phát hành, với khuyến nghị nâng cấp lên 4.14.2. Theo mô tả, một số lỗi có thể dẫn tới truy cập bảng quản trị mà không cần mật khẩu; cơ chế chặn trên giao diện chỉ chạy phía trình duyệt và có thể bị vượt qua.
Nhóm lỗi khác có thể cho phép người dùng không có tài khoản truy cập nội dung được thiết kế riêng tư, bao gồm đọc tin nhắn riêng theo từng phần và lộ nội dung danh mục tin nhắn riêng. Lỗi phạm vi rộng nhất liên quan đến cách NodeBB dựng trang: dữ liệu người dùng được đưa vào trang rồi mới thực hiện lượt thay thế văn bản dịch, tạo điều kiện để chèn mã thông qua bước xử lý thứ hai, dẫn đến stored/reflective XSS và khả năng cài mã độc trong liên kết.
Các lỗi còn lại được nêu gồm chiếm quyền bài viết, làm phình số phiếu, và tấn công thông qua liên kết/federation trên fediverse để cấy mã độc. Không có CVE cho cả 8 lỗi; một vấn đề federation riêng được theo dõi là CVE-2026-58593. Quản trị viên nên ưu tiên nâng cấp, rà soát plugin/chủ đề tùy biến sau thay đổi template ở 4.14.0 và cân nhắc cấu hình federation theo rủi ro.