CVE-2026-73038
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
NodeBB przed wersją 4.15.0 zawiera podatność na trwały cross-site scripting w funkcji renderEmoji, która nie ucieka z atrybutów tag.icon.url i tag.name. Atakujący mogą dostarczyć złośliwe obiekty ActivityPub Create/Note ze spreparowanymi tagami emoji, aby wstrzyknąć dowolny HTML i JavaScript do treści postów, wykonując kod w przeglądarkach wszystkich widzów.
Ocena ryzyka
Atakujący może wykraść dane sesji, przejąć konta użytkowników lub rozprzestrzeniać złośliwe treści w społeczności, co może naruszyć zaufanie i bezpieczeństwo.
Rekomendacja
Zaktualizuj NodeBB do wersji 4.15.0 lub nowszej oraz rozważ wzmocnienie polityki bezpieczeństwa treści (CSP).
Oryginalny opis (angielski, źródło NVD)
NodeBB before 4.15.0 contains a stored cross-site scripting vulnerability in the renderEmoji function that fails to escape tag.icon.url and tag.name attributes. Attackers can deliver malicious ActivityPub Create/Note objects with crafted emoji tags to inject arbitrary HTML and JavaScript into stored post content, executing code in all viewers' browsers.