PT-2026-141570
CVE-2026-120295
·
تاريخ النشر
2026-11-10
·
تاريخ التحديث
2026-11-10
الوصف من
CVSS 4.0
7.1
عاليةالمقاييسAV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:L/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
اسم البرنامج المصاب والإصدارات المتأثرة
nerves hub الإصدارات من 1.0.0 إلى 2.5.2
Description
توجد مشكلة في التصريح غير الصحيح في ميزة النقل الجماعي لصفحة الأجهزة في nerves hub web تسمح لمستخدم مصرح له لديه دور
manage في مؤسسة ودور view فقط في مؤسسة أخرى بنقل الأجهزة إلى منتج المؤسسة الثانية عبر إجراء "Move device(s) to product". يحدث هذا لأن حدث target-product في NervesHubWeb.Live.Devices.Index يستخدم الدالة NervesHub.Products.get by id/2 التي تتحقق فقط من أن المستخدم عضو في مؤسسة المنتج بغض النظر عن دوره. لاحقاً، يقوم إجراء move-devices-product باستدعاء NervesHub.Devices.BulkActions.move many/3 و Devices.move/3 لتغيير org id و product id للأجهزة المختارة دون التحقق مما إذا كان المستخدم يمتلك دور manage المطلوب في المؤسسة المستهدفة.ونتيجة لذلك، يحتفظ الجهاز المنقول بمفتاحه وشهادته، وينضم إلى مجموعات النشر المطابقة للمؤسسة المستهدفة، ويتلقى البرنامج الثابت (firmware) الخاص بالمؤسسة المستهدفة عبر رابط تحميل، وهو أمر لا يمكن للمستخدم الذي يمتلك دور
view الحصول عليه بخلاف ذلك. لا يمكن للمستخدم تغيير أو التحكم في الأجهزة التي تنتمي بالفعل إلى المؤسسة الأخرى.Recommendations
تحديث nerves hub إلى الإصدار 2.5.3 أو إصدار أحدث.
بعد التحديث، قم بمراجعة
audit logs لنوع المورد NervesHub.Products.Product التي تحتوي أوصافها على "moved device" لتحديد وإزالة الأجهزة التي تم نقلها بواسطة مستخدمين لم يكونوا يمتلكون دور manage أو admin في المؤسسة المستهدفة. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾