CVE-2026-28806 in nerves_hub_web
الملخص
بحسب VulDB • 15/05/2026
ثغرة عدم صلاحية التفويض (Improper Authorization) في nerves-hub nerves_hub_web تتيح التحكم في الأجهزة عبر الحدود التنظيمية (cross-organization) من خلال إجراءات الأجهزة الجماعية (device bulk actions) وواجهة برمجة التطبيقات لتحديث الأجهزة (device update API).
تفتقر نقاط نهاية إجراءات الأجهزة الجماعية وواجهة برمجة التطبيقات لتحديث الأجهزة إلى فحوصات صلاحية التفويض، مما يسمح للمستخدمين المصادق عليهم باستهداف الأجهزة التابعة لمنظمات أخرى وتنفيذ إجراءات تتجاوز مستوى صلاحياتهم.
يمكن للمهاجم اختيار أجهزة خارج منظمته عن طريق التلاعب بمعرفات الأجهزة وتنفيذ إجراءات إدارية عليها، مثل نقلها إلى المنتجات التي يتحكم فيها. قد يتيح ذلك للمهاجمين التدخل في تحديثات البرامج الثابتة، أو الوصول إلى وظائف الأجهزة المعروضة بواسطة المنصة، أو تعطيل اتصال الأجهزة.
في البيئات التي تكون فيها ميزات إضافية مثل الوصول إلى وحدة التحكم عن بُعد مفعّلة، قد يؤدي ذلك إلى اختراق كامل للأجهزة المتأثرة.
تؤثر هذه المشكلة في nerves_hub_web: من الإصدار 1.0.0 قبل 2.4.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.