CVE-2026-120295

Nome do Software Vulnerável e Versões Afetadas nerves hub versões 1.0.0 até 2.5.2

Description Um problema de autorização incorreta no recurso de movimentação em massa da página de dispositivos do nerves hub web permite que um usuário autenticado com a função manage em uma organização e apenas a função view em outra mova dispositivos para o produto da segunda organização através da ação "Move device(s) to product". Isso ocorre porque o evento target-product em NervesHubWeb.Live.Devices.Index utiliza a função NervesHub.Products.get by id/2, que apenas verifica se o usuário é membro da organização do produto, independentemente de sua função. Posteriormente, a ação move-devices-product chama NervesHub.Devices.BulkActions.move many/3 e Devices.move/3 para alterar o org id e o product id dos dispositivos selecionados sem verificar se o usuário possui a função manage necessária na organização de destino.

Como resultado, um dispositivo movido mantém sua chave e certificado, entra nos grupos de implantação correspondentes da organização de destino e recebe o firmware da organização de destino via uma URL de download, a qual um usuário com apenas a função view normalmente não conseguiria obter. O usuário não pode modificar ou controlar dispositivos que já pertençam à organização de destino.

Recommendations Atualize o nerves hub para a versão 2.5.3 ou posterior. Após a atualização, revise os audit logs para o tipo de recurso NervesHub.Products.Product com descrições contendo "moved device" para identificar e remover dispositivos movidos por usuários que não possuíam a função manage ou admin na organização de destino.