CVE-2026-120999
WysokieCVSS 7.4Streszczenie
Podatność niewłaściwego uwierzytelniania w logowaniu Google i potwierdzaniu e-mail w nerves_hub_web pozwala atakującemu zarejestrować adres e-mail innej osoby i współdzielić jej konto po zalogowaniu się tej osoby. System loguje użytkownika Google do konta o tym samym adresie e-mail bez weryfikacji własności adresu.
Ocena ryzyka
Atakujący może uzyskać dostęp do konta ofiary, gdy ta zaloguje się przez Google lub kliknie link potwierdzający, co może prowadzić do nieautoryzowanego dostępu do zarządzania urządzeniami. Atakujący zyskuje tylko to, co ofiara otrzyma później, ale może to naruszyć bezpieczeństwo organizacji.
Rekomendacja
Zaktualizuj nerves_hub do wersji 2.5.3 lub nowszej. Włącz weryfikację adresu e-mail i rozważ ograniczenie logowania przez Google do zweryfikowanych domen.
Inne podatności w nerves_hub_web
Zobacz wszystkie- CVE-2026-120997Niskie
W nerves-hub (nerves_hub_web) niewłaściwa unieważnianie sesji w stronach pulpitu, konsoli urządzenia i kanałach lokalnej powłoki pozwala usuniętemu lub zdegradowanemu członkowi organizacji na dalsze działanie z starą rolą przez otwarte wcześniej zasoby. Rola jest odczytywana raz przy montowaniu strony i przy dołączaniu do kanałów, a zmiana członkostwa nie jest propagowana. Token pulpitu ważny 24 godziny nie jest unieważniany przy wylogowaniu, co pozwala na otwieranie konsol w imieniu użytkownika.
- CVE-2026-120730Wysokie
Podatność niewłaściwej kontroli modyfikacji atrybutów obiektów w API urządzeń, formularzach urządzeń, kluczy podpisywania i produktów oraz ustawieniach JITP w nerves_hub_web pozwala uwierzytelnionemu użytkownikowi zarządzającemu urządzeniami w jednej organizacji na zapis do innych organizacji poprzez pola org_id, product_id i deployment_id. Urządzenie umieszczone w grupie wdrożeniowej innej organizacji otrzymuje jej firmware z linkiem do pobrania.
- CVE-2026-120295Wysokie
Podatność nieprawidłowej autoryzacji w akcji zbiorczego przenoszenia urządzeń na stronie urządzeń w nerves_hub_web pozwala uwierzytelnionemu użytkownikowi z rolą manage w jednej organizacji i tylko rolą view w innej przenieść urządzenia do produktu drugiej organizacji. Przeniesione urządzenie zachowuje klucz i certyfikat oraz dołącza do grup wdrożeniowych organizacji docelowej.
- CVE-2026-120286Średnie
W nerves-hub (nerves_hub_web) brak autoryzacji na stronach urządzeń i grup wdrożeniowych pozwala uwierzytelnionemu członkowi organizacji z rolą view na zmiany urządzeń i grup wdrożeniowych przez zdarzenia LiveView zarezerwowane dla roli manage. Handler zdarzeń wykonuje operacje bez wywołania authorized!/2, a kontrolki są renderowane każdemu członkowi. Członek z rolą view może dodawać i usuwać certyfikaty, zmieniać tagi, lokalizację, przynależność do grup wdrożeniowych oraz uruchamiać, ponawiać i usuwać kompilacje delta firmware.
- CVE-2026-119446Krytyczne
Podatność typu Session Fixation w przepływie logowania CLI w nerves_hub_web pozwala nieuwierzytelnionemu atakującemu uzyskać token API konta innego użytkownika poprzez spreparowany link logowania. Kod potwierdzenia jest jedynie wyświetlany i nigdy nie jest porównywany, więc nie potwierdza, że osoba zatwierdzająca jest tą samą, która rozpoczęła logowanie.
Oryginalny opis (angielski, źródło NVD)
Improper Authentication vulnerability in Google sign-in and email confirmation in nerves-hub nerves_hub_web allows an attacker who registers another person's email address to share that person's account once they sign in. NervesHub.Accounts.update_or_create_user_from_ueberauth/1 signs a Google user in to any account carrying the same email that is not yet linked to a Google account, links it and marks the email confirmed, without the account's owner ever having proved they own the address. NervesHubWeb.SessionController.confirm/2 likewise signs in whoever follows a confirmation link. An attacker registers the address from the sign-up form, changes their own account's email to it, or registers it as an organization admin from an invite link, and keeps the password; when the address's owner signs in with Google or follows the confirmation link, they land in that account. The Google path also creates accounts with registrations closed and never checks Google's email_verified claim, and the API's password sign-in in NervesHubWeb.API.UserController issues tokens to accounts whose email was never confirmed. The attacker gains only what the victim is granted afterwards, and nothing on accounts whose owners never use either path. This issue affects nerves_hub: from 2.3.0 before 2.5.3.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS