CVE-2026-120730
WysokieCVSS 8.6Streszczenie
Podatność niewłaściwej kontroli modyfikacji atrybutów obiektów w API urządzeń, formularzach urządzeń, kluczy podpisywania i produktów oraz ustawieniach JITP w nerves_hub_web pozwala uwierzytelnionemu użytkownikowi zarządzającemu urządzeniami w jednej organizacji na zapis do innych organizacji poprzez pola org_id, product_id i deployment_id. Urządzenie umieszczone w grupie wdrożeniowej innej organizacji otrzymuje jej firmware z linkiem do pobrania.
Ocena ryzyka
Użytkownik z uprawnieniami manage w swojej organizacji może przenieść urządzenia do innej organizacji, co może prowadzić do nieautoryzowanego dostępu do firmware i informacji o urządzeniach. Może to naruszyć izolację organizacji i bezpieczeństwo łańcucha dostaw firmware.
Rekomendacja
Zaktualizuj nerves_hub do wersji 2.5.3 lub nowszej. Przeglądaj uprawnienia użytkowników i ograniczaj role manage do zaufanych osób.
Inne podatności w nerves_hub_web
Zobacz wszystkie- CVE-2026-120999Wysokie
Podatność niewłaściwego uwierzytelniania w logowaniu Google i potwierdzaniu e-mail w nerves_hub_web pozwala atakującemu zarejestrować adres e-mail innej osoby i współdzielić jej konto po zalogowaniu się tej osoby. System loguje użytkownika Google do konta o tym samym adresie e-mail bez weryfikacji własności adresu.
- CVE-2026-120997Niskie
W nerves-hub (nerves_hub_web) niewłaściwa unieważnianie sesji w stronach pulpitu, konsoli urządzenia i kanałach lokalnej powłoki pozwala usuniętemu lub zdegradowanemu członkowi organizacji na dalsze działanie z starą rolą przez otwarte wcześniej zasoby. Rola jest odczytywana raz przy montowaniu strony i przy dołączaniu do kanałów, a zmiana członkostwa nie jest propagowana. Token pulpitu ważny 24 godziny nie jest unieważniany przy wylogowaniu, co pozwala na otwieranie konsol w imieniu użytkownika.
- CVE-2026-120295Wysokie
Podatność nieprawidłowej autoryzacji w akcji zbiorczego przenoszenia urządzeń na stronie urządzeń w nerves_hub_web pozwala uwierzytelnionemu użytkownikowi z rolą manage w jednej organizacji i tylko rolą view w innej przenieść urządzenia do produktu drugiej organizacji. Przeniesione urządzenie zachowuje klucz i certyfikat oraz dołącza do grup wdrożeniowych organizacji docelowej.
- CVE-2026-120286Średnie
W nerves-hub (nerves_hub_web) brak autoryzacji na stronach urządzeń i grup wdrożeniowych pozwala uwierzytelnionemu członkowi organizacji z rolą view na zmiany urządzeń i grup wdrożeniowych przez zdarzenia LiveView zarezerwowane dla roli manage. Handler zdarzeń wykonuje operacje bez wywołania authorized!/2, a kontrolki są renderowane każdemu członkowi. Członek z rolą view może dodawać i usuwać certyfikaty, zmieniać tagi, lokalizację, przynależność do grup wdrożeniowych oraz uruchamiać, ponawiać i usuwać kompilacje delta firmware.
- CVE-2026-119446Krytyczne
Podatność typu Session Fixation w przepływie logowania CLI w nerves_hub_web pozwala nieuwierzytelnionemu atakującemu uzyskać token API konta innego użytkownika poprzez spreparowany link logowania. Kod potwierdzenia jest jedynie wyświetlany i nigdy nie jest porównywany, więc nie potwierdza, że osoba zatwierdzająca jest tą samą, która rozpoczęła logowanie.
Oryginalny opis (angielski, źródło NVD)
Improperly Controlled Modification of Dynamically-Determined Object Attributes vulnerability in the device API, device forms, signing key and product forms and JITP settings in nerves-hub nerves_hub_web allows an authenticated user who manages devices in any organization to write into other organizations via submitted org_id, product_id and deployment_id fields. The device API create and update actions and the dashboard device forms pass the request parameters to NervesHub.Devices.Device.changeset/2, which casts the organization, product, deployment group and update state as given. The signing key and product forms merge the session's organization into the submitted parameters so that a submitted org_id wins, and the JITP changeset accepts any product_id. Each request requires the manage role only in the user's own organization, and any account can create one. A device placed on another organization's deployment group, or moved into its product, is sent that organization's firmware with a download URL. The user cannot change or control devices that already belong to the other organization, and cannot upload firmware to it. This issue affects nerves_hub: from 1.0.0 before 2.5.3.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS