CVE-2026-28806

nerves-hub nerves_hub_web komponentindəki yanlış avtorizasiya zəifliyi, cihazların toplu əməliyyatları və cihaz yeniləmə API-ı vasitəsilə təşkilatlararası cihaz idarəetməsinə şərait yaradır. Cihazların toplu əməliyyatları və cihaz yeniləmə API son nöqtələrində avtorizasiya yoxlamalarının olmaması, autentifikasiya olunmuş istifadəçilərə digər təşkilatlara məxsus cihazları hədəfləməyə və öz imtiyaz səviyyələrindən kənar əməliyyatlar yerinə yetirməyə imkan verir. Hücumçu cihaz identifikatorlarını manipulyasiya edərək öz təşkilatından kənar cihazları seçə bilər və onlar üzərində idarəetmə əməliyyatları, məsələn, onları nəzarət etdiyi məhsullara köçürmə kimi hərəkətlər edə bilər. Bu, hücumçulara proqram təminatı (firmware) yeniləmələrinə müdaxilə etməyə, platforma tərəfindən təqdim edilən cihaz funksionallığına giriş əldə etməyə və ya cihaz bağlantısını pozmağa imkan verə bilər. Uzaq konsol girişi kimi əlavə funksiyaların aktiv olduğu mühitlərdə bu, təsirlənmiş cihazların tam kompromisə uğramasına səbəb ola bilər. Bu problem nerves_hub_web versiya 1.0.0-dan 2.4.0-a qədər olan versiyalara təsir edir.