CVE-2026-75554
NiskieCVSS 2.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 35 - wyżej niż 35% wszystkich znanych CVE
Streszczenie
W hexpm (hex.pm) występuje podatność polegająca na niewystarczającym wygaśnięciu sesji w mechanizmie odświeżania tokenów OAuth. Użytkownik usunięty z organizacji może nadal czytać prywatne pakiety, ponieważ zakresy uprawnień nie są poprawnie aktualizowane. Problem dotyczy wersji hex.pm od 2025-10-10 do przed 2026-08-24.
Ocena ryzyka
Byli członkowie organizacji mogą zachować dostęp do prywatnych pakietów, co prowadzi do naruszenia poufności danych i kontroli dostępu.
Rekomendacja
Zaleca się aktualizację hex.pm do wersji z poprawką (2026-08-24 lub nowsza) oraz przegląd mechanizmów odświeżania tokenów.
Inne podatności w hexpm
Zobacz wszystkie- CVE-2026-86698Niskie
hexpm (hex.pm) ma podatność na niewystarczające wygasanie sesji w tokenach OAuth. Użytkownik, którego członkostwo w organizacji lub sesja dobiegła końca, może nadal czytać prywatne pakiety organizacji i dokumentację dzięki zachowanemu tokenowi odświeżającemu. Dostęp jest tylko do odczytu i ograniczony do organizacji, do których konto należało w momencie przyznania tokenu.
- CVE-2026-75542Wysokie
Podatność nieprawidłowej autoryzacji w punkcie końcowym tokenu OAuth w hexpm pozwala kluczowi API z uprawnieniem repositories na odczyt prywatnych pakietów innej organizacji. Podczas wymiany klucza na token, walidacja zakresów nie sprawdza nazwy organizacji względem podmiotu, a zakres repository:<nazwa> jest przepuszczany bez zmian. Token daje dostęp do odczytu prywatnych pakietów organizacji aż do wygaśnięcia.
- CVE-2026-21618Średnie
W hexpm (hex.pm) występuje podatność na Cross-Site Scripting (XSS) w module Elixir.HexpmWeb.SharedAuthorizationView. Funkcja render_grouped_scopes/3 nie neutralizuje danych wejściowych, co pozwala na wstrzyknięcie skryptów.
Oryginalny opis (angielski, źródło NVD)
Insufficient Session Expiration vulnerability in the OAuth token refresh grant in hexpm hexpm allows a user removed from an organization to keep reading its private packages. expand_repositories_scope/3 in lib/hexpm/permissions.ex only rewrites the literal repositories scope, so an explicitly granted repository:<org> or docs:<org> scope passes through it untouched. The refresh grant re-derives a new token from the stored granted_scopes, which holds that expanded form, so every refresh reproduces the organization scope without revisiting membership. Because both CDN edges authorize repository access from the token claim without querying the database, an account removed from an organization retains read access for as long as it keeps refreshing, bounded by the 30 day refresh token lifetime rather than the 30 minute access token lifetime. This issue affects hex.pm: from 2025-10-10 before 2026-08-24.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS