p PatchFirst

CVE-2022-46164

CVE-2022-46164 · Account takeover via prototype vulnerability

CVSS 9.4 · Критический · EPSS 47,4% · Есть исправление

Затронуты ли вы?

  • nodebbНет опубликованного исправления
  • nodebb npmОбновитесь до 2.6.1

Как узнать установленную версию:

npm ls nodebb

Бесплатная проверка покажет рейтинг сервера и подсветит, требует ли внимания nodebb и остальные программы. Без регистрации; имена серверов и IP-адреса не отправляются. Номера CVE, версии исправлений и рекомендации — в платном мониторинге.

curl -fsSL https://ru.patchfirst.dev/check.sh | sh
Проверить сервер бесплатно →

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

NodeBB is an open source Node.js based forum software. Due to a plain object with a prototype being used in socket.io message handling a specially crafted payload can be used to impersonate other users and takeover accounts. This vulnerability has been patched in version 2.6.1. Users are advised to upgrade. Users unable to upgrade may cherry-pick commit `48d143921753914da45926cca6370a92ed0c46b8` into their codebase to patch the exploit.

Опубликовано
Обновлено

Стек: node

Затронутые продукты и версии

  • nodebb

    Версии
    • < 2.6.1: Затронуто

    Нет опубликованного исправления

  • nodebb npm

    Затронутые диапазоны версий
    • SEMVER: < 2.6.1

    Обновитесь до 2.6.1

Первоисточники

Проверьте свой сервер →