CVE-2026-120999

Nome do Software Vulnerável e Versões Afetadas nerves hub versões 2.3.0 até 2.5.2

Description Uma autenticação inadequada no login do Google e na confirmação de e-mail permite que um invasor compartilhe uma conta com outro usuário ao registrar previamente o endereço de e-mail dessa pessoa. A função NervesHub.Accounts.update or create user from ueberauth/1 autentica usuários do Google em qualquer conta com o mesmo e-mail que ainda não esteja vinculada ao Google, marcando o e-mail como confirmado sem que o proprietário prove a posse do endereço. Da mesma forma, NervesHubWeb.SessionController.confirm/2 autentica quem quer que siga um link de confirmação. Um invasor pode registrar o e-mail da vítima pelo formulário de cadastro, alterar o e-mail de sua própria conta ou registrá-lo como administrador de organização via link de convite, mantendo a senha. Quando o proprietário real faz login via Google ou segue o link de confirmação, ele entra na conta do invasor. Além disso, o caminho do Google cria contas mesmo com cadastros fechados e não verifica a reivindicação email verified. O NervesHubWeb.API.UserController também emite tokens para contas cujo e-mail nunca foi confirmado.

Recommendations Atualize o nerves hub para a versão 2.5.3. Como medida temporária, desative o login do Google removendo a variável GOOGLE CLIENT ID. Restrinja o uso da configuração SIGN UP METHODS para controlar como os usuários se cadastram.