Vulnerabilidad en el software de foros NodeBB (CVE-2022-36045)

El software de foros NodeBB está impulsado por Node.js y es compatible con Redis, MongoDB o una base de datos PostgreSQL. Utiliza web sockets para interacciones instantáneas y notificaciones en tiempo real. `utils.generateUUID`, una función de ayuda disponible en prácticamente todas las versiones de NodeBB (desde la v1.0.1 y potencialmente antes) utilizaba un generador de números pseudoaleatorios criptográficamente inseguro (`Math.random()`), lo que significaba que un script especialmente diseñado combinado con múltiples invocaciones de la funcionalidad de restablecimiento de contraseña podía permitir a un atacante calcular correctamente el código de restablecimiento para una cuenta a la que no tuviera acceso. Esta vulnerabilidad afecta a todas las instalaciones de NodeBB. La vulnerabilidad permite a un atacante tomar el control de cualquier cuenta sin la participación de la víctima, y como tal, la remediación debe ser aplicada inmediatamente (ya sea a través de la actualización de NodeBB o cherry-pick del conjunto de cambios específicos. La vulnerabilidad ha sido parcheada en las versiones 2.x y 1.19.x. No hay una solución conocida, pero los conjuntos de parches listados arriba parcharán completamente la vulnerabilidad