CVE-2026-120295
WysokieCVSS 7.1Streszczenie
Podatność nieprawidłowej autoryzacji w akcji zbiorczego przenoszenia urządzeń na stronie urządzeń w nerves_hub_web pozwala uwierzytelnionemu użytkownikowi z rolą manage w jednej organizacji i tylko rolą view w innej przenieść urządzenia do produktu drugiej organizacji. Przeniesione urządzenie zachowuje klucz i certyfikat oraz dołącza do grup wdrożeniowych organizacji docelowej.
Ocena ryzyka
Użytkownik z ograniczoną rolą view w organizacji docelowej może przenieść do niej urządzenia, uzyskując dostęp do firmware i informacji, do których normalnie nie ma uprawnień. Może to naruszyć kontrolę dostępu i bezpieczeństwo organizacji.
Rekomendacja
Zaktualizuj nerves_hub do wersji 2.5.3 lub nowszej. Przeglądaj role użytkowników w organizacjach i ograniczaj możliwość przenoszenia urządzeń.
Inne podatności w nerves_hub_web
Zobacz wszystkie- CVE-2026-120999Wysokie
Podatność niewłaściwego uwierzytelniania w logowaniu Google i potwierdzaniu e-mail w nerves_hub_web pozwala atakującemu zarejestrować adres e-mail innej osoby i współdzielić jej konto po zalogowaniu się tej osoby. System loguje użytkownika Google do konta o tym samym adresie e-mail bez weryfikacji własności adresu.
- CVE-2026-120997Niskie
W nerves-hub (nerves_hub_web) niewłaściwa unieważnianie sesji w stronach pulpitu, konsoli urządzenia i kanałach lokalnej powłoki pozwala usuniętemu lub zdegradowanemu członkowi organizacji na dalsze działanie z starą rolą przez otwarte wcześniej zasoby. Rola jest odczytywana raz przy montowaniu strony i przy dołączaniu do kanałów, a zmiana członkostwa nie jest propagowana. Token pulpitu ważny 24 godziny nie jest unieważniany przy wylogowaniu, co pozwala na otwieranie konsol w imieniu użytkownika.
- CVE-2026-120730Wysokie
Podatność niewłaściwej kontroli modyfikacji atrybutów obiektów w API urządzeń, formularzach urządzeń, kluczy podpisywania i produktów oraz ustawieniach JITP w nerves_hub_web pozwala uwierzytelnionemu użytkownikowi zarządzającemu urządzeniami w jednej organizacji na zapis do innych organizacji poprzez pola org_id, product_id i deployment_id. Urządzenie umieszczone w grupie wdrożeniowej innej organizacji otrzymuje jej firmware z linkiem do pobrania.
- CVE-2026-120286Średnie
W nerves-hub (nerves_hub_web) brak autoryzacji na stronach urządzeń i grup wdrożeniowych pozwala uwierzytelnionemu członkowi organizacji z rolą view na zmiany urządzeń i grup wdrożeniowych przez zdarzenia LiveView zarezerwowane dla roli manage. Handler zdarzeń wykonuje operacje bez wywołania authorized!/2, a kontrolki są renderowane każdemu członkowi. Członek z rolą view może dodawać i usuwać certyfikaty, zmieniać tagi, lokalizację, przynależność do grup wdrożeniowych oraz uruchamiać, ponawiać i usuwać kompilacje delta firmware.
- CVE-2026-119446Krytyczne
Podatność typu Session Fixation w przepływie logowania CLI w nerves_hub_web pozwala nieuwierzytelnionemu atakującemu uzyskać token API konta innego użytkownika poprzez spreparowany link logowania. Kod potwierdzenia jest jedynie wyświetlany i nigdy nie jest porównywany, więc nie potwierdza, że osoba zatwierdzająca jest tą samą, która rozpoczęła logowanie.
Oryginalny opis (angielski, źródło NVD)
Incorrect Authorization vulnerability in the devices page bulk move in nerves-hub nerves_hub_web allows an authenticated user with the manage role in one organization and only the view role in another to move devices into the second organization's product via the "Move device(s) to product" action. The target-product event in NervesHubWeb.Live.Devices.Index looks the product up with NervesHub.Products.get_by_id/2, which checks that the user is a member of the product's organization at any role, and move-devices-product then changes each selected device's organization and product. The device API's move requires manage in the target organization, and an earlier fix added the check on the organization the devices leave but not on the one they enter. A moved device keeps its key and certificate, joins the target organization's matching deployment groups, and is sent their firmware with a download URL, which the view role cannot otherwise obtain. The user cannot change or control devices that already belong to the other organization. This issue affects nerves_hub: from 1.0.0 before 2.5.3.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS