NodeBB修复了八个高危漏洞，这些漏洞暴露了管理员权限和私人聊天记录

Rhinoer
Rhinoer

犀牛安全

2026年7月26日 00:00
北京

在小说阅读器读本章

去阅读

周三，NodeBB 的八个安全漏洞及其利用代码被公开。Aikido Security 将这八个漏洞都评为高危漏洞，并表示其人工智能渗透测试代理在对该论坛软件源代码进行六小时审查后发现了这些漏洞。

4.14.0 之前的所有版本均受影响。NodeBB 已修复所有问题，管理员应使用 4.14.2 版本。

最简单的方法只需要更改设置。普通论坛成员可以将主页地址指向管理员网站，然后刷新页面，管理员控制面板就会打开。无需密码，也无需漏洞利用代码。

论坛自身的界面会屏蔽该设置，但这种屏蔽仅在浏览器中生效，可以被绕过。之后，会员能访问的大部分内容都只能读取，包括错误日志和管理员导出的用户列表，不过他们也可以更换网站徽标。

另有两项漏洞允许攻击者在没有任何账户的情况下访问原本属于私密的内容。一项漏洞允许任何人冒充任何用户，并逐条读取私密消息。另一项漏洞则允许任何人以正确的方式请求访问私密类别的内容。

NodeBB最大的漏洞在于其页面构建方式。该软件会先填充页面内容，然后再进行第二次迭代以替换翻译后的文本。此时用户输入的内容已经存在于页面中，攻击者可以趁机偷偷植入第二次迭代所寻找的代码。这使得攻击者几乎可以在网站的任何位置植入链接，包括普通的论坛帖子，并在访客点击该链接时运行其恶意代码。

其余的攻击允许攻击者接管现有帖子，增加帖子的投票数，并通过在联邦宇宙（NodeBB 论坛可以加入的互联社交网站网络）上的虚假服务器运行两次攻击，植入恶意代码。

究竟是谁被曝光了

这八个步骤并不相同。其中三个步骤不需要目标论坛的账号。两个步骤需要一个普通会员账号。最后三个步骤则需要用户点击链接或打开页面。

据 Hacker News 统计，八个漏洞中有五个位于 NodeBB 的联邦代码中，该代码负责将论坛连接到 Mastodon 和其他社交网站。这决定了哪些论坛会受到威胁。全新安装的 NodeBB 4 版本默认启用联邦功能，因此它们都存在这八个漏洞。而从 3 版本升级的论坛，其联邦功能默认是关闭的，除非管理员手动启用，否则只有三个漏洞会受到影响。

Aikido并未公布各个漏洞的严重程度评分，NodeBB的发布说明中也没有对这些漏洞进行评级。NodeBB自身的漏洞赏金体系将跨站脚本攻击和账户劫持评为高危漏洞，并将获取管理员权限评为危急漏洞。

自五月以来，一直断断续续地进行着。

NodeBB 悄悄修复了大部分问题，并未透露具体修复内容。Hacker News 将每项修复与 NodeBB 的发布历史进行了比对：5 月份发布了四项修复，6 月份发布了两项，而最大的一项修复——对软件处理页面文本的方式进行了重构——于 7 月 9 日随 4.14.0 版本发布。该重构涉及 325 个文件。

Aikido 的文章称这些问题已于 7 月初修复，但这与记录不符。其提供的管理面板修复链接指向的是 2024 年 1 月的更改，比本次审查早了两年；而 NodeBB 自身的发布说明则提到了 5 月份的另一项更改。双方均未解释其中的差异。

管理员应升级至7 月 23 日发布的4.14.2 版本。升级过程中可能会有一些工作要做，因为 4.14.0 版本更改了页面模板处理文本的方式，自定义主题和插件可能需要更新。关闭联合身份验证也并非彻底的解决方案，因为其中三个缺陷与此无关。

这八个漏洞均未获得 CVE 编号，也无人报告利用这些漏洞发起攻击。NodeBB 联盟的一个独立漏洞则有 CVE 编号，编号为CVE-2026-58593，于 7 月 1 日提交。该漏洞并非 Aikido 报告的八个漏洞之一，但它存在于相同的代码中，允许外部服务器以任何本地帐户（包括管理员帐户）的名义发布和发送消息。该漏洞需要启用联盟功能，且记录中未提及修复版本。

NodeBB 的漏洞赏金页面声明，他们拒绝人工智能生成的漏洞报告，只对提交者本人完成的工作支付赏金。这意味着赏金的发放取决于漏洞修复情况，而非修复本身。这八个漏洞都是直接报告给维护者并已修复的。

NodeBB并非唯一部署此类工具的项目：自动化平台n8n在6月份修复了一个登录漏洞，该漏洞是由另一个AI渗透测试代理发现的。联合创始人Julian Lam在发布公告中指出，整个6月份都持续收到有效的安全报告，“尽管几乎所有漏洞都是AI发现和生成的”。

这八个检查背后的模式相同。NodeBB 会在进入某个功能的主要路径上检查你的身份，而跳过到达同一地点的支路检查。

信息来源：TheHackerNews