PT-2026-141573
CVE-2026-120999
·
تاريخ النشر
2026-11-10
·
تاريخ التحديث
2026-11-10
الوصف من
CVSS 4.0
7.4
عاليةالمقاييسAV:N/AC:L/AT:P/PR:N/UI:A/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المتأثر والإصدارات المتأثرة
nerves hub الإصدارات من 2.3.0 إلى 2.5.2
Description
يسمح خلل في المصادقة في تسجيل الدخول عبر Google وتأكيد البريد الإلكتروني للمهاجم بمشاركة حساب مع مستخدم آخر عن طريق تسجيل عنوان البريد الإلكتروني الخاص بذلك الشخص أولاً. تقوم الدالة
NervesHub.Accounts.update or create user from ueberauth/1 بتسجيل دخول مستخدم Google إلى أي حساب يحمل نفس البريد الإلكتروني غير المرتبط بحساب Google بعد، وتحدد البريد الإلكتروني على أنه مؤكد دون أن يثبت مالك الحساب ملكيته للعنوان. وبالمثل، تقوم الدالة NervesHubWeb.SessionController.confirm/2 بتسجيل دخول أي شخص يتبع رابط التأكيد. يمكن للمهاجم تسجيل عنوان البريد الإلكتروني للضحية من نموذج التسجيل، أو تغيير البريد الإلكتروني لحسابه الخاص، أو تسجيله كمسؤول منظمة من رابط دعوة مع الاحتفاظ بكلمة المرور؛ وعندما يقوم المالك الفعلي بتسجيل الدخول عبر Google أو يتبع رابط التأكيد، فإنه يدخل إلى حساب المهاجم. بالإضافة إلى ذلك، يقوم مسار Google بإنشاء حسابات حتى عندما يكون التسجيل مغلقاً ولا يتحقق من مطالبة email verified. كما يقوم NervesHubWeb.API.UserController بإصدار رموز (tokens) لحسابات لم يتم تأكيد بريدها الإلكتروني.Recommendations
تحديث nerves hub إلى الإصدار 2.5.3.
كإجراء تخفيف مؤقت، قم بإيقاف تسجيل الدخول عبر Google عن طريق إلغاء تعيين متغير
GOOGLE CLIENT ID.
تقييد استخدام تكوين SIGN UP METHODS للتحكم في كيفية تسجيل المستخدمين. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾