CVE-2026-120997
NiskieCVSS 2.3Streszczenie
W nerves-hub (nerves_hub_web) niewłaściwa unieważnianie sesji w stronach pulpitu, konsoli urządzenia i kanałach lokalnej powłoki pozwala usuniętemu lub zdegradowanemu członkowi organizacji na dalsze działanie z starą rolą przez otwarte wcześniej zasoby. Rola jest odczytywana raz przy montowaniu strony i przy dołączaniu do kanałów, a zmiana członkostwa nie jest propagowana. Token pulpitu ważny 24 godziny nie jest unieważniany przy wylogowaniu, co pozwala na otwieranie konsol w imieniu użytkownika.
Ocena ryzyka
Usunięty lub zdegradowany członek może nadal wykonywać działania i uruchamiać polecenia na urządzeniach do czasu przeładowania strony lub rozłączenia gniazda. Może to prowadzić do nieautoryzowanego dostępu i naruszenia bezpieczeństwa floty.
Rekomendacja
Zaktualizuj nerves_hub do wersji 2.5.3 lub nowszej, która unieważnia sesje przy zmianie ról, oraz rozważ skrócenie czasu życia tokenów konsoli.
Inne podatności w nerves_hub_web
Zobacz wszystkie- CVE-2026-120999Wysokie
Podatność niewłaściwego uwierzytelniania w logowaniu Google i potwierdzaniu e-mail w nerves_hub_web pozwala atakującemu zarejestrować adres e-mail innej osoby i współdzielić jej konto po zalogowaniu się tej osoby. System loguje użytkownika Google do konta o tym samym adresie e-mail bez weryfikacji własności adresu.
- CVE-2026-120730Wysokie
Podatność niewłaściwej kontroli modyfikacji atrybutów obiektów w API urządzeń, formularzach urządzeń, kluczy podpisywania i produktów oraz ustawieniach JITP w nerves_hub_web pozwala uwierzytelnionemu użytkownikowi zarządzającemu urządzeniami w jednej organizacji na zapis do innych organizacji poprzez pola org_id, product_id i deployment_id. Urządzenie umieszczone w grupie wdrożeniowej innej organizacji otrzymuje jej firmware z linkiem do pobrania.
- CVE-2026-120295Wysokie
Podatność nieprawidłowej autoryzacji w akcji zbiorczego przenoszenia urządzeń na stronie urządzeń w nerves_hub_web pozwala uwierzytelnionemu użytkownikowi z rolą manage w jednej organizacji i tylko rolą view w innej przenieść urządzenia do produktu drugiej organizacji. Przeniesione urządzenie zachowuje klucz i certyfikat oraz dołącza do grup wdrożeniowych organizacji docelowej.
- CVE-2026-120286Średnie
W nerves-hub (nerves_hub_web) brak autoryzacji na stronach urządzeń i grup wdrożeniowych pozwala uwierzytelnionemu członkowi organizacji z rolą view na zmiany urządzeń i grup wdrożeniowych przez zdarzenia LiveView zarezerwowane dla roli manage. Handler zdarzeń wykonuje operacje bez wywołania authorized!/2, a kontrolki są renderowane każdemu członkowi. Członek z rolą view może dodawać i usuwać certyfikaty, zmieniać tagi, lokalizację, przynależność do grup wdrożeniowych oraz uruchamiać, ponawiać i usuwać kompilacje delta firmware.
- CVE-2026-119446Krytyczne
Podatność typu Session Fixation w przepływie logowania CLI w nerves_hub_web pozwala nieuwierzytelnionemu atakującemu uzyskać token API konta innego użytkownika poprzez spreparowany link logowania. Kod potwierdzenia jest jedynie wyświetlany i nigdy nie jest porównywany, więc nie potwierdza, że osoba zatwierdzająca jest tą samą, która rozpoczęła logowanie.
Oryginalny opis (angielski, źródło NVD)
Improper Session Invalidation vulnerability in the dashboard pages, device console and local shell channels in nerves-hub nerves_hub_web allows an organization member who is removed or given a lower role to keep acting at their old role through anything they had open at the time. The dashboard reads the member's role once when a page mounts, in the assign_org_to_scope hook of NervesHubWeb.Auth, and the console, local shell and device event stream channels check membership once at join. Removing a member or changing their role tells none of them, so open pages keep carrying out actions and open consoles keep running commands on the device until the page reloads or the socket disconnects. The dashboard also opens consoles over NervesHubWeb.UserSocket with a token that holds only the user's id, is accepted for 24 hours, and is not revoked by signing out, which disconnects only the session's LiveViews. Whoever holds a token taken from a page can open consoles as that user, within the user's current membership, until it expires. This issue affects nerves_hub: from 1.0.0 before 2.5.3.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS