CVE-2025-64097 in nerves_hub_web
الملخص
بحسب VulDB • 18/06/2026
NervesHub هو خدمة ويب تتيح للمستخدمين إدارة تحديثات البرامج الثابتة عبر الهواء (OTA) للأجهزة في الميدان. سمحت ثغرة موجودة بدءًا من الإصدار 1.0.0 وحتى الإصدارات السابقة لـ 2.3.0 للمهاجمين بتنفيذ هجوم القوة الغاشمة على رموز واجهة برمجة التطبيقات (API) الخاصة بالمستخدمين بسبب تنسيق الرموز السابقة القابل للتوقع. كانت الرموز تتضمن مكونات يمكن من خلالها تحديد هوية المستخدم، ولم تكن آمنة من الناحية التشفيرية، مما جعلها عرضة للتخمين أو الاستقصاء. كان من الممكن أن تتيح هذه الثغرة الوصول غير المصرح به إلى حسابات المستخدمين أو إجراءات واجهة برمجة التطبيقات المحمية بهذه الرموز. يتوفر إصلاح في الإصدار 2.3.0 من NervesHub. يقدم هذا الإصدار رموزًا قوية وعشوائية تشفيرياً باستخدام `:crypto.strong_rand_bytes/1`، وتجزئة الرموز قبل تخزينها في قاعدة البيانات لمنع إساءة الاستخدام حتى في حال اختراق قاعدة البيانات، وتخزين رموز واعية بالسياق للتمييز بين رموز الجلسة ورموز واجهة برمجة التطبيقات. لا توجد حلول بديلة عملية لهذه المشكلة سوى الترقية. في البيئات الحساسة، يمكن أن يساعد حجب الوصول إلى خادم NervesHub باستخدام جدار حماية في تقليل التعرض للخطر كإجراء تخفيف مؤقت حتى تصبح الترقية ممكنة.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.