CVE-2026-28806 in nerves_hub_web
Riassunto
di VulDB • 19/06/2026
Vulnerabilità di autorizzazione impropria in nerves-hub (nerves_hub_web) che consente il controllo dei dispositivi tra organizzazioni diverse tramite azioni bulk sui dispositivi e l'API di aggiornamento dei dispositivi.
La mancanza di controlli di autorizzazione negli endpoint delle azioni bulk sui dispositivi e dell'API di aggiornamento dei dispositivi permette agli utenti autenticati di prendere di mira i dispositivi appartenenti ad altre organizzazioni ed eseguire operazioni al di fuori del loro livello di privilegi.
Un attaccante può selezionare dispositivi esterni alla propria organizzazione manipolando gli identificatori dei dispositivi ed eseguire azioni di gestione su di essi, come spostarli in prodotti sotto il suo controllo. Ciò potrebbe consentire agli aggressori di interferire con gli aggiornamenti del firmware, accedere alle funzionalità dei dispositivi esposte dalla piattaforma o interrompere la connettività dei dispositivi.
In ambienti in cui sono abilitate funzionalità aggiuntive quali l'accesso alla console remota, ciò potrebbe portare al compromesso completo dei dispositivi interessati.
Questo problema interessa nerves_hub_web: dalle versioni 1.0.0 precedenti alla 2.4.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.