Podatności hexpm
4 znanych podatności CVE w hexpm, przetłumaczonych i ocenionych.
- CVE-2026-75554Niskie
W hexpm (hex.pm) występuje podatność polegająca na niewystarczającym wygaśnięciu sesji w mechanizmie odświeżania tokenów OAuth. Użytkownik usunięty z organizacji może nadal czytać prywatne pakiety, ponieważ zakresy uprawnień nie są poprawnie aktualizowane. Problem dotyczy wersji hex.pm od 2025-10-10 do przed 2026-08-24.
- CVE-2026-75542Wysokie
Podatność nieprawidłowej autoryzacji w punkcie końcowym tokenu OAuth w hexpm pozwala kluczowi API z uprawnieniem repositories na odczyt prywatnych pakietów innej organizacji. Podczas wymiany klucza na token, walidacja zakresów nie sprawdza nazwy organizacji względem podmiotu, a zakres repository:<nazwa> jest przepuszczany bez zmian. Token daje dostęp do odczytu prywatnych pakietów organizacji aż do wygaśnięcia.
- CVE-2026-23940Średnie
W hexpm/hexpm przed commit 495f01607d3eae4aed7ad09b2f54f31ec7a7df01 oraz hex.pm przed 2026-03-10 stwierdzono podatność na niekontrolowane zużycie zasobów. Opublikowanie zbyt dużego pakietu może spowodować wyczerpanie pamięci podczas ekstrakcji archiwum, prowadząc do odmowy usługi.
- CVE-2026-21618Średnie
W hexpm (hex.pm) występuje podatność na Cross-Site Scripting (XSS) w module Elixir.HexpmWeb.SharedAuthorizationView. Funkcja render_grouped_scopes/3 nie neutralizuje danych wejściowych, co pozwala na wstrzyknięcie skryptów.