PT-2026-54922 · Nodebb · Nodebb
Bikini
·
Publicado
2026-07-01
·
Atualizado
2026-07-07
·
CVE-2026-58593
CVSS v3.1
7.5
Alta
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N |
Nome do Software Vulnerável e Versões Afetadas
NodeBB (versões afetadas não especificadas)
Descrição
O NodeBB não vincula o autor alegado de um objeto ActivityPub recebido ao ator remoto autenticado. Embora o middleware de entrada verifique o ator da assinatura HTTP e a origem do
object.id, ele não valida se o parâmetro attributedTo corresponde ao remetente. Como a função actors.assert() ignora silenciosamente identificadores numéricos, um ator remoto pode definir attributedTo para um valor numérico, como 1, fazendo com que o sistema atribua a postagem ou mensagem privada a um ID de usuário local, incluindo a conta de administrador. Isso permite que um invasor remoto forje postagens e mensagens diretas atribuídas a usuários locais arbitrários. Este problema requer que o recurso de federação ActivityPub esteja habilitado.Recomendações
No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.
Desative o recurso de federação ActivityPub para minimizar o risco de exploração.
Exploit
Authentication Bypass by Spoofing
Insufficient Verification of Data Authenticity
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Nodebb