API token verification can be bypassed in NodeBB
Impact
Incorrect logic present in the token verification step unintentionally allowed master token access to the API.
Patches
The vulnerability has been patch as of v1.18.5.
Workarounds
Cherry-pick commit hash 04dab1d550cdebf4c1567bca9a51f8b9ca48a500 to receive this patch in lieu of a full upgrade.
For more information
If you have any questions or comments about this advisory:
- Email us at security@nodebb.org
Software afectado
Haz clic en una tecnología para ver todas sus vulnerabilidades.
| Plataforma | Paquete | Versiones vulnerables | Corregida en |
|---|---|---|---|
| Paquete de npm | nodebb | >= 1.15.0, < 1.18.5 | 1.18.5 |
Referencias
- https://github.com/NodeBB/NodeBB/security/advisories/GHSA-hf2m-j98r-4fqw
- https://nvd.nist.gov/vuln/detail/CVE-2021-43786
- https://github.com/NodeBB/NodeBB/commit/04dab1d550cdebf4c1567bca9a51f8b9ca48a500
- https://blog.sonarsource.com/nodebb-remote-code-execution-with-one-shot
- https://github.com/NodeBB/NodeBB
- https://github.com/NodeBB/NodeBB/releases/tag/v1.18.5
- Vector CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H- Debilidad (CWE)
CWE-287- Plataforma
- npm
- Paquete
nodebb- Publicada
- 30.11.2021
- Actualizado
- 11.10.2026 10:22
Fuentes y licencias
OSV / GitHub Advisory Database - GHSA-hf2m-j98r-4fqw - CC BY 4.0
Historial de vulnerabilidades: nodebb
Todas las vulnerabilidades publicadas de este paquete (Paquete de npm), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.
- Entradas en total
- 14
- Primera → última
- 05.2019 08.2025
- Sin corrección
- 1
- Explotada en ataques
- 0
Distribución por gravedad
- Crítica 5
- Alta 2
- Media 7
Divulgaciones por año
- 2019: 1
- 2020: 0
- 2021: 3
- 2022: 5
- 2023: 2
- 2024: 1
- 2025: 2
- 2026: 0
-
API token verification can be bypassed in NodeBB esta entrada
Identifica las vulnerabilidades de tu aplicación
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.