CVE-2026-73038mediumCWE-79

CVE-2026-73038: falha de média gravidade em NodeBB

NodeBB < 4.15.0 Stored XSS via ActivityPub emoji tag.icon.url and tag.name

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar NodeBB

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

13Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 5.3epss 0.2%
NodeBB before 4.15.0 contains a stored cross-site scripting vulnerability in the renderEmoji function that fails to escape tag.icon.url and tag.name attributes. Attackers can deliver malicious ActivityPub Create/Note objects with crafted emoji tags to inject arbitrary HTML and JavaScript into stored post content, executing code in all viewers' browsers.
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:P/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N
Produtos afetados
NodeBB · NodeBB
CVEs relacionadas — NodeBB

No mesmo produto, das mais perigosas para as menos.

CVE-2022-46164CRITICALAccount takeover via prototype vulnerabilityEPSS 47.4%CVE-2021-43788MEDIUMPath traversal in translator module of NobeBBEPSS 25.8%CVE-2020-15149CRITICALAccount takeover in NodeBBEPSS 2.4%CVE-2021-43786CRITICALAPI token verification can be bypassedEPSS 2.4%CVE-2022-36045CRITICALAccount takeover via cryptographically weak PRNG in NodeBB ForumEPSS 1.3%CVE-2021-43787CRITICALXSS via prototype pollutionEPSS 1.3%