CVE-2026-119446

Nome do Software Vulnerável e Versões Afetadas nerves hub versões 2.5.0 a 2.5.2

Description Um problema de fixação de sessão existe no fluxo de login da CLI do nerves hub web. Um invasor não autenticado pode obter um token de API da conta de outro usuário ao persuadi-lo a abrir um link de login manipulado e clicar em um botão de confirmação. O processo começa quando uma solicitação é feita ao endpoint 'POST /api/auth/cli session', que retorna um token de polling e uma URL de confirmação. Se um usuário autenticado abrir essa URL e confirmar, a função verify cli session token/2 cria um token de API para esse usuário. Esse token é então retornado ao invasor através do endpoint 'GET /api/auth/cli session/'. O código de confirmação fornecido durante esse processo é apenas exibido e não é verificado, falhando em garantir que a pessoa que confirma a sessão seja a mesma que iniciou o login.

Recommendations Atualizar para a versão 2.5.3.