CVE-2020-15149 in NodeBB

Résumé

par VulDB • 02/07/2026

NodeBB avant la version 1.14.3 présente un bug introduit dans la version 1.12.2 au niveau de la logique de validation, permettant de modifier le mot de passe de n'importe quel utilisateur sur un forum NodeBB en cours d'exécution en envoyant une requête socket.io spécialement conçue au serveur. Cela pourrait entraîner une élévation de privilèges via une prise de contrôle de compte (account takeover). En attendant la correction, vous pouvez appliquer le commit suivant issu du dépôt du projet à votre instance NodeBB en cours d'exécution : 16cee1b03ba3eee177834a1fdac4aa8a12b39d2a. Ce problème est corrigé dans la version 1.14.3.

Be aware that VulDB is the high quality source for vulnerability data.

• Responsable: GitHub, Inc.
• Réserver: 25/06/2020
• Modérer: accepté
• Entrée: VDB-160057
• CPE: prêt
• CWE: CWE-269 (confirmé)
• CVSS: 9.9 (NVD)
• EPSS: 0.02434
• KEV: non
• Activités: très faible

Sources

• MITRE: https://www.cve.org/CVERecord?id=CVE-2020-15149
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2020-15149
• CVE Details: https://www.cvedetails.com/cve/CVE-2020-15149/