CVE-2026-119446— CLI 登录会话固定导致未授权获取 API 令牌漏洞
一分钟漏洞结论
影响对象
nerves-hub nerves_hub_web
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
在 nerves-hub 项目的 nerves_hub_web 模块中，CLI 登录流程存在会话固定（Session Fixation）漏洞。未认证的攻击者可通过精心构造的登录链接，获取其他用户账户的 API 令牌。 具体流程如下：发起 CLI 登录时，向 发送请求无需身份验证，该请求会返回一个轮询令牌（polling token）、一个携带该令牌的确认 URL 以及一个确认码。当已登录的用户打开该 URL 并点击“确认”按钮后， 函数会为该用户账户生成一个 API 令牌，将其存储于登录会话中；随后，对 的下次轮询
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-119446 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
Session fixation in the CLI login flow allows an unauthenticated attacker to obtain a user's API token
来源: CVE Program / CVE List V5
Vulnerability Description
Session Fixation vulnerability in the CLI login flow in nerves-hub nerves_hub_web allows an unauthenticated attacker to obtain an API token for another user's account via a crafted login link. Starting a CLI login with POST /api/auth/cli_session needs no authentication and returns a polling token, a confirmation URL that carries that token, and a confirmation code. When a signed-in user opens that URL and clicks Confirm, NervesHub.Accounts.verify_cli_session_token/2 creates an API token for the user's account and stores it on the login, and the next poll of GET /api/auth/cli_session/<token> returns it to whoever started the login.
The confirmation code is only displayed and is never compared with anything, so it cannot show that the person confirming is the one who started the login. The confirm form carries a CSRF token and the page cannot be framed, so the attacker has to persuade the user to open the link and click the button themselves.
This issue affects nerves_hub: from 2.5.0 before 2.5.3.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:A/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H
来源: CVE Program / CVE List V5
Vulnerability Type
会话固定
来源: CVE Program / CVE List V5
受影响产品
| 厂商 | 产品 | 影响版本 | CPE | 订阅 |
|---|---|---|---|---|
| nerves-hub | nerves_hub_web | 2.5.0 ~ 2.5.3 |
cpe:2.3:a:nerves-hub:nerves_hub_web:*:*:*:*:*:*:*:*
|
|
| nerves-hub | nerves_hub_web | 2.5.0 ~ 2.5.3 |
cpe:2.3:a:nerves-hub:nerves_hub_web:*:*:*:*:*:*:*:*
|
|
| nerves-hub | nerves_hub_web | e6bf11a812d7aa8b69d854ba8ef02d65516f5564 ~ 3131f1701194b581ab4b3e5e9d81194fc9c83508 |
cpe:2.3:a:nerves-hub:nerves_hub_web:*:*:*:*:*:*:*:*
|
|
二、漏洞 CVE-2026-119446 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-119446 的情报信息
请登录查看更多情报信息。
CVE-2026-119446 其他参考 (5)
-
https://github.com/nerves-hub/nerves_hub_web/security/advisories/GHSA-9vr9-463q-46qp vendor-advisory related
同批安全公告 · nerves-hub · 2026-11-10 · 共 6 条
| CVE-2026-120730 | 8.6 HIGH | 组织、产品及部署组 ID 强制赋值漏洞 |
| CVE-2026-120999 | 7.4 HIGH | Google 身份验证不当导致账户接管漏洞 |
| CVE-2026-120295 | 7.1 HIGH | 设备批量移动功能权限绕过漏洞 |
| CVE-2026-120286 | 5.3 MEDIUM | 设备部署组事件缺失授权，允许成员修改 |
| CVE-2026-120997 | 2.3 LOW | 会话失效不当致降权成员保留旧角色权限漏洞 |