CVE-2026-28806

nerves-hub nerves_hub_web bileşenindeki Hatalı Yetkilendirme zafiyeti, cihaz toplu işlemleri ve cihaz güncelleme API'si aracılığıyla organizasyonlar arası cihaz kontrolüne izin vermektedir. Cihaz toplu işlemleri ve cihaz güncelleme API uç noktalarındaki eksik yetkilendirme kontrolleri, kimliği doğrulanmış kullanıcıların diğer organizasyonlara ait cihazları hedef almasına ve kendi yetki seviyelerinin dışındaki işlemleri gerçekleştirmesine olanak tanır. Bir saldırgan, cihaz tanımlayıcılarını manipüle ederek kendi organizasyonu dışındaki cihazları seçebilir ve bu cihazlar üzerinde, onları kontrol ettikleri ürünlere taşıma gibi yönetimsel işlemler gerçekleştirebilir. Bu durum; saldırganların aygıt yazılımı güncellemelerine müdahale etmesine, platform tarafından sunulan cihaz işlevlerine erişmesine veya cihaz bağlantısını kesmesine neden olabilir. Uzaktan konsol erişimi gibi ek özelliklerin etkinleştirildiği ortamlarda, bu durum etkilenen cihazların tamamen ele geçirilmesine yol açabilir. Bu sorun, 1.0.0 ile 2.4.0 öncesi arasındaki nerves_hub_web sürümlerini etkilemektedir.