CVE-2025-64097 in nerves_hub_web
Сводка
по VulDB • 18.06.2026
NervesHub — это веб-сервис, позволяющий пользователям управлять обновлениями прошивки устройств (OTA) в полевых условиях. Уязвимость, присутствующая начиная с версии 1.0.0 и до версии 2.3.0 включительно, позволяла злоумышленникам подбирать пользовательские API-токены методом грубой силы из-за предсказуемого формата ранее выданных токенов. Токены содержали компоненты, идентифицирующие пользователя, и не обладали криптографической стойкостью, что делало их уязвимыми к подбору или перебору. Уязвимость могла привести к несанкционированному доступу к учетным записям пользователей или выполнению действий через API, защищенных этими токенами. Исправление доступно в версии 2.3.0 NervesHub. Эта версия внедряет криптографически стойкие случайные токены с использованием функции `:crypto.strong_rand_bytes/1`, хеширование токенов перед сохранением в базе данных для предотвращения несанкционированного использования даже при компрометации базы данных, а также хранение токенов с учетом контекста для различения сеансовых и API-токенов. Практических обходных путей для этой проблемы нет, кроме обновления системы. В чувствительных средах в качестве временной меры защиты ограничение доступа к серверу NervesHub через межсетевой экран может помочь снизить риски до момента проведения обновления.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.