NodeBBに存在する8件のセキュリティ欠陥が水曜日、公表されるとともに悪用コードも公開されました。Aikido Securityはこれら8件すべてを高深刻度と評価し、AIペンテストエージェントがフォーラムソフトウェアのソースコードを6時間調査して発見したとしています。

バージョン4.14.0未満がすべて影響を受けます。NodeBBはこれらをすべて修正済みで、管理者は4.14.2を利用する必要があります。

最も単純なものは設定変更のみで実現可能です。通常のフォーラムメンバーが、ホーム画面の設定を管理アドレスに向け、ページを再読み込みすると、管理ダッシュボードが開いてしまいます。パスワードも、悪用コードも必要ありません。

フォーラム自身のインターフェースはこの設定をブロックしていますが、そのブロックはブラウザ上でのみ実行されるため、回避可能です。メンバーが到達できる情報の大部分は読み取り専用で、エラーログや管理者がエクスポートしたユーザーリストなども含まれますが、サイトロゴの差し替えも可能でした。

さらに2件の脆弱性により、アカウントを持たない攻撃者が本来非公開の情報にアクセスできました。一方は、任意のユーザーになりすましてプライベートメッセージを1件ずつ読むことができ、もう一方は、プライベートカテゴリのコンテンツを正しい方法で要求すれば誰でも取得できました。

最も影響範囲の広い脆弱性は、NodeBBがページを生成する方法にありました。ソフトウェアはページを生成した後、翻訳テキストを挿入する2回目の処理を行います。その時点でユーザー入力がすでにページ内に存在しており、2回目の処理が探すコードを挿入できました。これにより、攻撃者がサイト内のほぼ任意の場所（通常のフォーラム投稿内を含む）にリンクを埋め込み、訪問者がクリックすると攻撃者のコードが実行されるようになりました。

Cybersecurity

残りの脆弱性は、既存の投稿を乗っ取る、投稿の投票数を水増しする、フェディバース（NodeBBフォーラムが参加可能なソーシャルサイトのネットワーク）上の偽サーバーを介して悪意あるコードを埋め込む2件の攻撃を実行するものでした。

実際に影響を受けたユーザー

8件の脆弱性は同一ではありません。3件は対象フォーラムのアカウントを必要とせず、2件は通常のメンバーアカウントが必要です。残りの3件はリンクをクリックするかページを開く必要があります。

The Hacker Newsの集計では、8件中5件がNodeBBのフェデレーションコードに存在しており、Mastodonやその他のソーシャルサイトとの接続部分に該当します。リスクを受けるのはこの部分次第です。新規にバージョン4でインストールしたフォーラムはデフォルトでフェデレーションが有効のため、8件すべてが該当します。バージョン3からアップグレードしたフォーラムはフェデレーションが自動的に無効化されており、管理者が再度有効化しない限り、3件の脆弱性のみが適用されました。

Aikidoは個別の脆弱性の深刻度スコアを公表しておらず、NodeBBのリリースノートにも評価はありません。NodeBB自身のバグバウンティ基準では、クロスサイトスクリプティングとアカウント乗っ取りを高深刻度、管理者アクセス取得を重大と評価しています。

5月以降に段階的に修正

NodeBBはこれらの脆弱性の多くを、内容を公表せずに静かに修正しました。The Hacker Newsは各修正をNodeBBのリリース履歴と照合し、4件が5月、2件が6月にリリースされ、最大の修正（ページテキストの処理方法を再構築）は7月9日の4.14.0で提供されたことを確認しました。この再構築は325ファイルを変更しました。

Aikidoの記事では問題が7月上旬に修正されたとありますが、これは記録と一致しません。管理者パネル修正のリンクは2024年1月に行われた変更（レビュー実施の2年前）を指しており、NodeBB自身のリリースノートは5月の別の変更を挙げています。双方ともこのギャップについて説明していません。

管理者は7月23日にリリースされた4.14.2にアップグレードする必要があります。4.14.0でページテンプレートのテキスト処理方法が変更されたため、カスタムテーマやプラグインの更新が必要になる可能性があります。フェデレーションを無効化するだけでは完全な対策にはなりません。3件の脆弱性はフェデレーションに関係ないためです。

Cybersecurity

8件の脆弱性にCVE追跡番号はなく、これらを利用した攻撃の報告もありません。別件のNodeBBフェデレーション脆弱性にはCVE-2026-58593が7月1日に割り当てられています。これはAikidoの8件には含まれませんが、同じコード内にあり、外部サーバーがローカルアカウント（管理者を含む）の名義で投稿やメッセージを送信できるものです。フェデレーションの有効化が必要で、修正版は記録されていません。

NodeBBのバグバウンティページでは、AI生成の報告を拒否し、報告者自身が行った作業に対してのみ報酬を支払うとしています。これは修正ではなく報酬に関するルールであり、これら8件は直接メンテナに報告され、修正されています。

NodeBBだけがAIの報告を受けているわけではありません。オートメーションプラットフォームのn8nは6月に、別のAIペンテストエージェントが発見したログイン脆弱性を修正しました。共同創設者Julian Lamはリリースアナウンスのノートで、有効なセキュリティ報告が今月も着実に届いていると述べ、「ただしほぼすべてがAIが発見・生成したもの」としています。

8件の脆弱性に共通するパターンは同じです。NodeBBは機能への主要な入口でユーザーを確認していましたが、同じ場所に到達できる副次的な経路での確認を省略していました。

この記事が役に立ったと感じたら、Google News、Twitter、LinkedInで最新の独占コンテンツをチェックしてください。