CVE-2026-58593

Nome do Software Vulnerável e Versões Afetadas NodeBB (versões afetadas não especificadas)

Descrição O NodeBB não vincula o autor alegado de um objeto ActivityPub recebido ao ator remoto autenticado. Embora o middleware de entrada verifique o ator da assinatura HTTP e a origem do object.id, ele não valida se o parâmetro attributedTo corresponde ao remetente. Como a função actors.assert() ignora silenciosamente identificadores numéricos, um ator remoto pode definir attributedTo para um valor numérico, como 1, fazendo com que o sistema atribua a postagem ou mensagem privada a um ID de usuário local, incluindo a conta de administrador. Isso permite que um invasor remoto forje postagens e mensagens diretas atribuídas a usuários locais arbitrários. Este problema requer que o recurso de federação ActivityPub esteja habilitado.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade. Desative o recurso de federação ActivityPub para minimizar o risco de exploração.