Agentes de pentest de IA da Aikido encontram oito falhas no fórum NodeBB em seis horas
A Aikido Security usou agentes de pentest baseados em IA para revisar o código-fonte do software de fóruns NodeBB e encontrou oito vulnerabilidades classificadas como de alta severidade, incluindo um caminho para obter acesso administrativo apenas alterando uma configuração de página inicial e uma falha que permitia ler mensagens privadas de qualquer usuário. Todas as versões anteriores à 4.14.0 são afetadas, e os administradores devem atualizar para 4.14.2.
As oito falhas compartilham uma causa raiz comum: o NodeBB verificava a identidade do usuário no caminho principal de acesso a uma funcionalidade, mas deixava de repetir essa verificação em rotas alternativas que levavam ao mesmo recurso. Esse padrão é clássico em aplicações web que cresceram organicamente ao longo de várias versões, mas normalmente exige uma auditoria manual extensa para ser mapeado em sua totalidade — algo que os agentes de pentest da Aikido conseguiram fazer em apenas seis horas de análise automatizada do código.
Entre os problemas mais graves está a possibilidade de um usuário comum alterar sua própria configuração de página inicial para apontar para o painel administrativo; como a validação de permissão existia apenas no lado do navegador, um recarregamento da página bastava para obter acesso de administrador. Outra falha permitia se passar por qualquer usuário e ler suas mensagens privadas uma a uma, e havia ainda acesso indevido a categorias privadas por usuários não autenticados. A mais séria tecnicamente foi uma injeção de XSS possibilitada por uma renderização de página em duas etapas, em que entrada do usuário já presente na página conseguia “contrabandear” os códigos que a segunda etapa processava.
Nenhuma das oito falhas recebeu um identificador CVE individual — o que por si só é um dado relevante, já que mostra uma classe de vulnerabilidades de alto impacto (bypass de autenticação e XSS em software usado por comunidades e empresas) sendo corrigida silenciosamente ao longo de meses, entre maio e julho, sem o rastreamento formal que normalmente ajudaria administradores a priorizar patches.
O episódio é relevante para este boletim não pela vulnerabilidade em si, mas pelo papel da IA como ferramenta ofensiva: um pentest completo de uma base de código de porte médio, que tradicionalmente demandaria dias de um analista humano, foi comprimido a horas por agentes automatizados, resultando em divulgação responsável e correção real. Isso reforça uma tendência de dupla via — se equipes de segurança podem usar agentes de IA para achar bugs mais rápido, atacantes com os mesmos agentes têm a mesma vantagem de velocidade contra alvos que ainda não corrigiram.