NodeBB、AIが発見した8件の脆弱性を修正　管理者権限の奪取や非公開チャットの漏洩リスク

要点

• セキュリティ企業Aikido Securityが、AIペンテストエージェントを用いたソースコード解析により、NodeBBに存在する8件の深刻な脆弱性を発見した。

• 脆弱性には、パスワードなしで管理者ダッシュボードを閲覧できる不具合や、アカウントを持たない外部の攻撃者が非公開メッセージを盗み見られるバグなどが含まれる。

• 8件中5件はフェデレーション（外部のSNSと接続する機能）に起因しており、新規インストールされた環境が特に影響を受けやすい。

• 開発元はすでに段階的な修正を完了しており、管理者に向けて最新バージョンである「4.14.2」への移行を強く推奨している。

• オープンソースのフォーラム（掲示板）用ソフトウェアである「NodeBB」において、8件の深刻な脆弱性が公表され、それらを悪用する攻撃用コードも同時に公開された。これらの脆弱性は、セキュリティ企業のAikido Securityが開発したAI（人工知能）ペンテストエージェント（自動でセキュリティ上の欠陥を探すプログラム）が、NodeBBのソースコードをわずか6時間で解析し検出したものだという。影響はバージョン4.14.0未満のすべてに及ぶため、開発元や専門家は最新の修正バージョンである「4.14.2」へのアップデートを呼びかけている。

脆弱性の詳細と実態

発見された8件の脆弱性は、いずれもAikidoにより深刻度「高（High）」と評価されている。

最も単純な不具合は、一般会員がホームページ設定を管理者用アドレスに書き換えてリロードするだけで、パスワードなしで管理者ダッシュボードを開けてしまうものだ。ブラウザ側の制限回避が可能になっており、ロゴ画像変更やエラーログ、エクスポートされたユーザーリストの閲覧などが可能だった。

さらに、アカウントのない外部攻撃者がプライベート情報にアクセスできるバグも2件検出された。特定ユーザーになりすまして個別メッセージを順次読み取れるものと、適切なリクエストによって非公開カテゴリの投稿内容を取得できるものである。

最も広範な脆弱性は、ページ構築時の翻訳テキスト置換処理に関するものだ。ユーザー入力値が翻訳置換前にページへ配置されるため、置換用コードを偽装して悪意あるリンクを埋め込み、閲覧者のブラウザ上で任意のコードを実行させる『クロスサイトスクリプティング（XSS）』（ウェブサイトに悪意あるスクリプトを注入する攻撃手法）が可能になる。

このほか、投稿の乗っ取りや投票数の不正水増し、外部SNSと連携する『フェディバース（分散型SNSのネットワーク）』の偽サーバーを介したコード注入なども確認されている。

フェデレーション設定による影響の差異

これらの影響は、外部SNSと連携するフェデレーション機能の有効状態によって異なる。8件中5件がこの機能に関連しているためだ。

バージョン4を新規インストールした環境ではデフォルトで有効となっており全8件の影響を受けるが、バージョン3からアップグレードした環境では自動的に無効化されるため、手動で有効化していない限り影響はフェデレーションに依存しない3件にとどまる。

なお、公式な深刻度スコアは設定されていないが、NodeBBのバグバウンティ（脆弱性発見の報奨金制度）の基準では、XSSは「高」、管理者アクセスの取得は「緊急（Critical）」とされている。

5月からの段階的な修正と公表までのズレ

NodeBBはこれらの脆弱性を段階的に修正してきた。履歴によると、5月に4件、6月に2件が修正され、テンプレート処理を再構築した7月9日リリースのバージョン4.14.0で最大の修正（325ファイルの変更）が適用された。

しかし、Aikido側は「7月上旬にすべて修正された」と説明しており、一部の修正時期やコミット履歴をめぐる主張に齟齬がある。例えば管理者パネルの修正について、Aikidoの示すリンクは2024年1月の変更を指しているが、NodeBBのリリースノートでは2026年5月の変更とされており、詳細は未解明である。

推奨される対策とその他の関連情報

管理者は、7月23日リリースの「4.14.2」への移行が推奨される。ただし、バージョン4.14.0でのテキスト処理再構築に伴い、カスタムテーマやプラグインの更新が必要になる可能性がある。また、フェデレーション機能の無効化だけでは残り3件を防ぐ根本的対策にはならない。

現在、これら8件による被害報告やCVE（共通脆弱性識別子：セキュリティ上の脆弱性に付与される固有の識別番号）の採番はない。一方で、フェデレーション機能を通じて任意のローカルアカウントになりすましメッセージを送信できる脆弱性「CVE-2026-58593」が7月1日に登録されている。これは今回の8件とは異なるが、現時点で修正バージョンは明記されていない。

NodeBBのバグバウンティ方針ではAI自動生成の報告を拒否しているが、今回の件は直接報告され修正に至った。AIによるコード解析でのバグ発見は他でも進んでおり、6月には自動化プラットフォーム「n8n」でも、AIが検出したログインプロセスの脆弱性が修正されている。