Se descubrieron ocho vulnerabilidades graves en NodeBB que permitían el acceso no autorizado al panel de administración, lectura de mensajes privados y ejecución de código malicioso. Las fallas afectaron a versiones anteriores a la 4.14.0, especialmente a aquellas con la función de federación activada. Se recomienda a los administradores actualizar urgentemente a la versión 4.14.2 para solucionar estos riesgos.



El miércoles se hicieron públicas ocho fallos de seguridad en NodeBB, junto con el código para explotarlos. Aikido Security califica los ocho como de severidad alta y afirma que sus agentes de pentest de IA los encontraron en una revisión de seis horas del código fuente del software de foros.

Todas las versiones anteriores a la 4.14.0 están afectadas. NodeBB ya las ha corregido todas, y deberías estar en la versión 4.14.2.

La más sencilla requiere un cambio de configuración. Un miembro normal del foro podría apuntar el ajuste de su página de inicio a la dirección del administrador, recargar la página y el panel de administración se abriría para él. Sin contraseña ni código de explotación.

La propia interfaz del foro bloquea ese ajuste, pero el bloqueo solo se ejecutaba en el navegador y podía esquivarse. La mayor parte de lo que un miembro podía alcanzar era de solo lectura, incluyendo el registro de errores y cualquier lista de usuarios que un administrador hubiera exportado, aunque también podrían cambiar el logotipo del sitio.

Otras dos permitían a un atacante sin cuenta alguna acceder a cosas que debían ser privadas. Una permitía a cualquiera fingir ser cualquier usuario y leer mensajes privados uno por uno. La otra entregaba el contenido de categorías privadas a cualquiera que las solicitara de la manera correcta.

El fallo más amplio estaba en cómo NodeBB construye sus páginas. El software rellena una página y luego hace una segunda pasada para intercambiar el texto traducido. La entrada del usuario ya estaba en la página en ese momento, y podía introducir los códigos que esa segunda pasada busca. Eso permitía a un atacante plantar un enlace casi en cualquier lugar del sitio, incluso dentro de publicaciones normales del foro, que ejecuta su código cuando un visitante hace clic en él.

El resto permitía a un atacante apoderarse de una publicación existente, inflar el recuento de votos de una publicación y ejecutar dos ataques que plantan código malicioso a través de un servidor falso en el fediverso, la red de sitios sociales conectados a la que puede unirse un foro NodeBB.

Quién fue realmente expuesto

Los ocho no son iguales. Tres no requieren cuenta en el foro objetivo. Dos necesitan una cuenta de miembro ordinario. Los últimos tres necesitan que alguien haga clic en un enlace o abra una página.

Cinco de los ocho se encuentran en el código de federación de NodeBB, la parte que conecta un foro con Mastodon y otros sitios sociales. Eso decide quién estaba en riesgo. Los foros instalados desde cero en la versión 4 federan por defecto (documentación), por lo que tenían los ocho. Los foros que actualizaron desde la versión 3 tenían la federación desactivada automáticamente y, a menos que un administrador la activara de nuevo, solo se aplicaban tres de los fallos. Aikido no publicó puntuaciones de severidad para los fallos individuales, y las notas de lanzamiento de NodeBB no las califican. La propia escala de recompensas por errores de NodeBB (bounty) califica el cross-site scripting y la toma de control de cuentas como alta, y el acceso de administrador como crítico.

Parcheado por piezas desde mayo

NodeBB corrigió la mayoría de ellos discretamente, sin decir qué eran. Se comprobó cada corrección con el historial de lanzamientos de NodeBB: cuatro se enviaron en mayo, dos en junio, y el más importante, una reconstrucción de cómo el software maneja el texto de la página, llegó en la versión 4.14.0 el 9 de julio. Esa reconstrucción afectó a 325 archivos (pull request).

El informe de Aikido dice que los problemas se corrigieron a principios de julio, lo cual no coincide con ese registro. Su enlace para la corrección del panel de administración apunta a un cambio realizado en enero de 2024, dos años antes de la revisión, mientras que las propias notas de lanzamiento de NodeBB mencionan un cambio diferente de mayo. Ninguna de las partes explica la brecha.

Deberías actualizar a la versión 4.14.2 (descarga), lanzada el 23 de julio. Espera tener que trabajar un poco, ya que la 4.14.0 cambió la forma en que las plantillas de página manejan el texto y es posible que los temas y complementos personalizados necesiten actualizarse. Desactivar la federación tampoco es una respuesta completa, ya que tres de los fallos no tienen nada que ver con ella.

Ninguno de los ocho tiene un número de seguimiento CVE, y nadie ha informado de ataques utilizándolos. Un fallo de federación de NodeBB independiente sí tiene uno, CVE-2026-58593 (NVD), registrado el 1 de julio. No es uno de los ocho de Aikido, pero se encuentra en el mismo código y permite que un servidor externo publique y envíe mensajes en nombre de cualquier cuenta local, incluido el administrador. Requiere que la federación esté activada y el registro no menciona ninguna versión corregida.

La página de bug bounty de NodeBB dice que rechaza los informes generados por IA y paga solo por el trabajo que el remitente haya hecho él mismo. Eso rige los pagos más que las correcciones, y estos ocho fueron informados directamente a los mantenedores y parcheados.

NodeBB no es el único proyecto enfrentándose a esto: la plataforma de automatización n8n parcheó un fallo de inicio de sesión en junio que encontró un agente de pentest de IA diferente. La nota del cofundador Julian Lam en el anuncio de lanzamiento (comunidad) dice que los informes de seguridad válidos llegaron constantemente durante el mes, "aunque casi todos fueron descubiertos y generados por IA".

El patrón detrás de los ocho es el mismo. NodeBB comprobaba quién eras en la vía principal de acceso a una función, y omitía la comprobación en la ruta lateral que llegaba al mismo lugar.

Fuente:
THN