NodeBBに6時間で発見された8件の高深刻度脆弱性

【なぜ重要か】 NodeBB 4.14.0より前のバージョンには、デフォルト構成のまま運用しているインスタンスで悪用可能な高深刻度の脆弱性が8件存在することが判明した。Aikido SecurityがAIペネトレーションテストのホワイトボックス評価を通じてわずか6時間で発見したもので、XSS・認可バイパス・情報漏洩など多岐にわたる。NodeBBをフォーラム基盤として利用しているエンジニアやセキュリティ担当者は即座にバージョンアップを検討する必要がある。

【ポイント】

• フェデレーションサーバー経由のXSS（プロフィールアイコン）: カスタムフェデレーションサーバーを用意し、悪意あるユーザーのアイコンURLにXSSペイロードを仕込むことで、被害者が該当ユーザープロフィールのURLにアクセスするだけで<meta>タグ内にスクリプトが注入・実行される。修正済みコミット: 4c4bf76。
• フェデレーションエラーログ経由のXSS（管理者画面）: Benchpressテンプレートの自動エスケープが意図的に無効化された管理者向けエラーログ画面において、細工したフェデレーションメッセージのIDフィールドにXSSペイロードを格納できる。未認証の攻撃者がペイロードを保存し、管理者が確認画面を開いた際に任意のJavaScriptが実行され、インスタンス全体の乗っ取りが可能となる。修正済みコミット: 16bda6b。
• 翻訳テンプレートインジェクション経由のXSS: NodeBBはテンプレートレンダリング後に翻訳処理（[[...]]構文）を実行するが、[と]がエスケープ対象外のため、URLや投稿本文などあらゆるユーザー入力から翻訳キーを注入できる。javascript:URIを組み合わせることでクリック時に任意のJavaScriptを実行可能。設計上の問題であるため修正は複雑で、v4.14.0にて翻訳システムの自動エスケープへのリファクタリングおよびトランスレーター出力のHTMLサニタイズが実施された。
• カスタムホームページ設定を悪用した管理者認可バイパス: /adminルートの認可ミドルウェアは特定パスパターンにのみ適用されるが、管理者がカスタムホームページとして/admin配下のパスを設定できる機能を利用することで、このミドルウェアを迂回して管理者専用ページへ不正アクセスできる。
• その他の認可バイパスによる情報漏洩: 公開されるべきでない各種データ（他ユーザーのセッション情報や非公開コンテンツなど）を読み取ったり、データを乗っ取ったりできる巧妙な認可バイパスが複数存在した。

【まとめ】 NodeBB 4.14.0未満を利用している場合、デフォルト構成でも悪用可能な高深刻度の脆弱性が複数存在するため、直ちに4.14.0以降へアップグレードすること。Aikido Securityは脆弱なインスタンスを自動検出する機能も提供している。