CVE-2025-64097 in nerves_hub_web
摘要
由 VulDB • 2026-06-18
NervesHub 是一项 Web 服务，允许用户管理现场设备的空中下载（OTA）固件更新。从版本 1.0.0 开始至 2.3.0 之前的版本中存在一个漏洞，攻击者可利用先前颁发的令牌格式可预测的特点对用户 API 令牌进行暴力破解。这些令牌包含可识别用户的组件且不具备密码学安全性，因此容易受到猜测或枚举的攻击。该漏洞可能导致未经授权访问用户账户或通过此类令牌保护的 API 操作。NervesHub 2.3.0 版本提供了修复程序。此版本引入了使用 `:crypto.strong_rand_bytes/1` 生成的强加密随机令牌，在将令牌存储到数据库之前对其进行哈希处理以防止即使数据库被攻破时也被滥用，并采用上下文感知的令牌存储机制以区分会话令牌和 API 令牌。除了升级之外，没有其他实际可行的变通方法。在敏感环境中，作为临时缓解措施，对 NervesHub 服务器的访问进行防火墙限制可以帮助在升级之前减少暴露面。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.