Descripción
Vulnerabilidad de fijación de sesión (session fixation) en el flujo de inicio de sesión de la CLI en nerves-hub nerves_hub_web que permite a un atacante no autenticado obtener un token de API para la cuenta de otro usuario mediante un enlace de inicio de sesión especialmente manipulado. Iniciar un inicio de sesión de la CLI con POST /api/auth/cli_session no requiere autenticación y devuelve un token de sondeo, una URL de confirmación que contiene ese token y un código de confirmación. Cuando un usuario con sesión iniciada abre esa URL y hace clic en Confirm, NervesHub.Accounts.verify_cli_session_token/2 crea un token de API para la cuenta del usuario y lo almacena en el inicio de sesión, y la siguiente consulta de GET /api/auth/cli_session/<token> lo devuelve a quien haya iniciado el inicio de sesión. El código de confirmación solo se muestra y nunca se compara con nada, por lo que no puede demostrar que la persona que confirma sea la misma que inició el inicio de sesión. El formulario de confirmación incluye un token CSRF y la página no puede mostrarse dentro de un marco, por lo que el atacante debe convencer al usuario de abrir el enlace y hacer clic en el botón por sí mismo. Este problema afecta a nerves_hub: desde la versión 2.5.0 hasta antes de la 2.5.3.
Qué hacer
Revisa si usas el producto afectado y en qué versión, y aplica la actualización o la mitigación que indique el aviso del fabricante. CISA no ha confirmado que se esté explotando; si eso cambia, esta ficha pasa a «explotada» y te avisamos en el boletín.
Versiones afectadas
- nerves_hub_web Afectadas: 2.5.0 y anteriores a 2.5.3
- nerves_hub_web Afectadas: 2.5.0 y anteriores a 2.5.3
- nerves_hub_web Afectadas: e6bf11a812d7aa8b69d854ba8ef02d65516f5564 y anteriores a 3131f1701194b581ab4b3e5e9d81194fc9c83508
Según el registro de la vulnerabilidad en CVE.org, tal como lo publicó el fabricante. Confirma tu versión exacta en el aviso del fabricante.
Referencias
- Aviso del fabricantegithub.com/nerves-hub/nerves_hub_web/security/advisories/GHSA-9vr9-46…
- Referencia en cna.erlef.orgcna.erlef.org/cves/CVE-2026-119446.html
- Referencia en osv.devosv.dev/vulnerability/EEF-CVE-2026-119446
- Referencia en github.comgithub.com/nerves-hub/nerves_hub_web/commit/e6bf11a812d7aa8b69d854ba8…
- Parchegithub.com/nerves-hub/nerves_hub_web/commit/3131f1701194b581ab4b3e5e9…
Ver el texto original en inglés (CVE.org)
Session fixation in the CLI login flow allows an unauthenticated attacker to obtain a user's API token
Session Fixation vulnerability in the CLI login flow in nerves-hub nerves_hub_web allows an unauthenticated attacker to obtain an API token for another user's account via a crafted login link. Starting a CLI login with POST /api/auth/cli_session needs no authentication and returns a polling token, a confirmation URL that carries that token, and a confirmation code. When a signed-in user opens that URL and clicks Confirm, NervesHub.Accounts.verify_cli_session_token/2 creates an API token for the user's account and stores it on the login, and the next poll of GET /api/auth/cli_session/<token> returns it to whoever started the login. The confirmation code is only displayed and is never compared with anything, so it cannot show that the person confirming is the one who started the login. The confirm form carries a CSRF token and the page cannot be framed, so the attacker has to persuade the user to open the link and click the button themselves. This issue affects nerves_hub: from 2.5.0 before 2.5.3.