Die einfachste der acht Schwachstellen erforderte laut Quelltext nur eine Änderung der eigenen Einstellungen. Ein gewöhnliches Forenmitglied konnte seine Startseiten-Einstellung auf die Admin-Adresse setzen und nach einem Neuladen das Administrations-Dashboard öffnen. Ein Passwort oder spezieller Exploit-Code war dafür nicht nötig. Zwar blockierte die Oberfläche des Forums diese Einstellung, doch die Sperre lief nur im Browser und ließ sich umgehen. Der erreichbare Bereich war überwiegend schreibgeschützt, darunter das Fehlerprotokoll und von Administratoren exportierte Nutzerlisten; möglich war unter anderem aber auch der Austausch des Seitenlogos.
Zwei weitere Lücken erlaubten laut Bericht sogar Angreifern ohne Benutzerkonto Zugriff auf eigentlich private Inhalte. Eine davon machte es möglich, sich als beliebiger Nutzer auszugeben und private Nachrichten einzeln auszulesen. Die andere legte Inhalte privater Kategorien offen, wenn die Anfrage in der richtigen Form gestellt wurde.
Die weitreichendste Schwachstelle steckte in der Seitenerzeugung von NodeBB. Die Software füllt zunächst eine Seite mit Inhalten und durchläuft sie anschließend ein zweites Mal, um übersetzte Texte einzusetzen. Zu diesem Zeitpunkt befanden sich Benutzereingaben bereits in der Seite und konnten die Codes einschleusen, nach denen dieser zweite Verarbeitungsschritt sucht. Dadurch ließ sich fast überall auf der Website ein Link platzieren, auch in normalen Forenbeiträgen, der beim Anklicken fremden Code ausführt.
Die übrigen Lücken ermöglichten es, einen bestehenden Beitrag zu übernehmen, die Stimmenzahl eines Beitrags künstlich zu erhöhen sowie zwei Angriffe über einen gefälschten Server im Fediverse einzuschleusen. Diese Anbindung verknüpft ein NodeBB-Forum mit Mastodon und anderen sozialen Diensten. Die acht Fehler sind dabei nicht gleich gelagert: Drei benötigen kein Konto im Ziel-Forum, zwei setzen ein gewöhnliches Mitgliedskonto voraus, und bei den letzten drei muss jemand einen Link anklicken oder eine Seite öffnen.
Nach Zählung von The Hacker News sitzen fünf der acht Schwachstellen im Federation-Code. Neu installierte Foren auf Basis von Version 4 hatten Federation standardmäßig aktiviert und waren damit für alle acht Fehler anfällig. Bei Installationen, die von Version 3 aktualisiert wurden, wurde Federation automatisch abgeschaltet; solange Administratoren sie nicht wieder einschalteten, trafen dort nur drei der Schwachstellen zu.
Aikido veröffentlichte keine Einzelbewertungen für die jeweiligen Lücken, und auch in den Release-Hinweisen von NodeBB fehlen Schweregrade. Auf der eigenen Bug-Bounty-Seite stuft NodeBB Cross-Site-Scripting und Kontoübernahmen jedoch als hoch ein, unberechtigten Admin-Zugriff als kritisch.
NodeBB hat die meisten Fehler zunächst still behoben, ohne deren Natur offenzulegen. The Hacker News hat die Korrekturen mit der Release-Historie abgeglichen: Vier erschienen im Mai, zwei im Juni, und die größte Änderung — ein Umbau der Textverarbeitung in Seitenvorlagen — kam mit Version 4.14.0 vom 9. Juli. Dieser Umbau betraf 325 Dateien. Aikidos Bericht erklärt dagegen, die Probleme seien Anfang Juli behoben worden; laut Artikel passt das nicht zu dieser Historie. Zudem verweist Aikido bei der Korrektur des Admin-Panel-Fehlers auf eine Änderung aus dem Januar 2024, während NodeBB in seinen Release-Hinweisen eine andere Änderung aus dem Mai nennt. Keine der beiden Seiten erklärt diese Abweichung.
Administratoren sollen auf 4.14.2 aktualisieren, veröffentlicht am 23. Juli. Ganz ohne Aufwand dürfte das nicht gehen, weil sich mit 4.14.0 die Behandlung von Text in Seitentemplates geändert hat und angepasste Themes oder Plugins unter Umständen ebenfalls aktualisiert werden müssen. Federation einfach abzuschalten reicht außerdem nicht aus, da drei der acht Lücken nichts damit zu tun haben.
Für keine der acht Schwachstellen gibt es eine CVE-Nummer, und gemeldete Angriffe liegen nicht vor. Separat existiert jedoch mit CVE-2026-58593 eine weitere Federation-Schwachstelle in NodeBB, eingereicht am 1. Juli. Sie gehört nicht zu Aikidos acht Funden, liegt aber im selben Codebereich und erlaubt es einem externen Server, Beiträge zu veröffentlichen und Nachrichten im Namen beliebiger lokaler Konten zu versenden, einschließlich des Administrators. Voraussetzung ist auch hier aktivierte Federation; eine behobene Version nennt der Eintrag nicht.
Auf der Bug-Bounty-Seite erklärt NodeBB zudem, KI-generierte Meldungen würden nicht akzeptiert, bezahlt werde nur Arbeit, die Einsender selbst geleistet haben. Das betrifft laut Artikel die Auszahlung, nicht die Behebung: Diese acht Schwachstellen wurden direkt an die Maintainer gemeldet und gepatcht. Als weiteres Beispiel nennt der Quelltext n8n, wo im Juni eine Login-Schwachstelle geschlossen wurde, die ein anderer KI-Pentest-Agent gefunden hatte. Mitgründer Julian Lam schrieb in der Release-Ankündigung, im Lauf des Monats seien fortlaufend gültige Sicherheitsmeldungen eingegangen, „wenn auch fast alle von KI entdeckt und erzeugt“.
Das gemeinsame Muster hinter allen acht Fehlern war laut Quelltext, dass NodeBB die Identität eines Nutzers am Haupteingang einer Funktion prüfte, die Kontrolle aber auf einem alternativen Zugangsweg zur gleichen Funktion ausließ.