CVE-2026-120286
ŚrednieCVSS 5.3Streszczenie
W nerves-hub (nerves_hub_web) brak autoryzacji na stronach urządzeń i grup wdrożeniowych pozwala uwierzytelnionemu członkowi organizacji z rolą view na zmiany urządzeń i grup wdrożeniowych przez zdarzenia LiveView zarezerwowane dla roli manage. Handler zdarzeń wykonuje operacje bez wywołania authorized!/2, a kontrolki są renderowane każdemu członkowi. Członek z rolą view może dodawać i usuwać certyfikaty, zmieniać tagi, lokalizację, przynależność do grup wdrożeniowych oraz uruchamiać, ponawiać i usuwać kompilacje delta firmware.
Ocena ryzyka
Członek organizacji z niskimi uprawnieniami może przejąć kontrolę nad urządzeniami, dodając certyfikat pozwalający na połączenie jako urządzenie lub zmieniając firmware, które urządzenie otrzymuje. Może to prowadzić do naruszenia integralności i poufności floty urządzeń.
Rekomendacja
Zaktualizuj nerves_hub do wersji 2.5.3 lub nowszej i zweryfikuj, czy role view nie mają nadanych zbędnych uprawnień.
Inne podatności w nerves_hub_web
Zobacz wszystkie- CVE-2026-120999Wysokie
Podatność niewłaściwego uwierzytelniania w logowaniu Google i potwierdzaniu e-mail w nerves_hub_web pozwala atakującemu zarejestrować adres e-mail innej osoby i współdzielić jej konto po zalogowaniu się tej osoby. System loguje użytkownika Google do konta o tym samym adresie e-mail bez weryfikacji własności adresu.
- CVE-2026-120997Niskie
W nerves-hub (nerves_hub_web) niewłaściwa unieważnianie sesji w stronach pulpitu, konsoli urządzenia i kanałach lokalnej powłoki pozwala usuniętemu lub zdegradowanemu członkowi organizacji na dalsze działanie z starą rolą przez otwarte wcześniej zasoby. Rola jest odczytywana raz przy montowaniu strony i przy dołączaniu do kanałów, a zmiana członkostwa nie jest propagowana. Token pulpitu ważny 24 godziny nie jest unieważniany przy wylogowaniu, co pozwala na otwieranie konsol w imieniu użytkownika.
- CVE-2026-120730Wysokie
Podatność niewłaściwej kontroli modyfikacji atrybutów obiektów w API urządzeń, formularzach urządzeń, kluczy podpisywania i produktów oraz ustawieniach JITP w nerves_hub_web pozwala uwierzytelnionemu użytkownikowi zarządzającemu urządzeniami w jednej organizacji na zapis do innych organizacji poprzez pola org_id, product_id i deployment_id. Urządzenie umieszczone w grupie wdrożeniowej innej organizacji otrzymuje jej firmware z linkiem do pobrania.
- CVE-2026-120295Wysokie
Podatność nieprawidłowej autoryzacji w akcji zbiorczego przenoszenia urządzeń na stronie urządzeń w nerves_hub_web pozwala uwierzytelnionemu użytkownikowi z rolą manage w jednej organizacji i tylko rolą view w innej przenieść urządzenia do produktu drugiej organizacji. Przeniesione urządzenie zachowuje klucz i certyfikat oraz dołącza do grup wdrożeniowych organizacji docelowej.
- CVE-2026-119446Krytyczne
Podatność typu Session Fixation w przepływie logowania CLI w nerves_hub_web pozwala nieuwierzytelnionemu atakującemu uzyskać token API konta innego użytkownika poprzez spreparowany link logowania. Kod potwierdzenia jest jedynie wyświetlany i nigdy nie jest porównywany, więc nie potwierdza, że osoba zatwierdzająca jest tą samą, która rozpoczęła logowanie.
Oryginalny opis (angielski, źródło NVD)
Missing Authorization vulnerability in the device and deployment group pages in nerves-hub nerves_hub_web allows an authenticated organization member with the view role to change devices and deployment groups via LiveView events reserved for the manage role. The event handlers that add and delete device certificates, add and remove tags, overwrite or clear a device's manual location, remove a device from its deployment group, move matched devices into a deployment group or remove unmatched ones, import devices from a CSV, and start, retry or delete firmware delta builds carry out the change without calling authorized!/2, and the pages render the controls to every member. A view member can add a certificate that lets whoever holds its key connect as the device, delete a certificate so the device can no longer authenticate with it, and change which deployment group, and so which firmware release, a device receives. Everything stays within the organizations the member belongs to. This issue affects nerves_hub: from 1.0.0 before 2.5.3.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS