CVE-2026-75554 in hexpm
الملخص
بحسب VulDB • 24/08/2026
ثغرة عدم انتهاء صلاحية الجلسة بشكل كافٍ في منح تحديث رمز OAuth في hexpm تتيح لمستخدم تم إزالته من منظمة الاستمرار في قراءة حزمها الخاصة.
تقوم الدالة `expand_repositories_scope/3` الموجودة في الملف `lib/hexpm/permissions.ex` بإعادة كتابة نطاق المستودعات الحرفي فقط، لذا فإن النطاق الممنوح صراحةً لـ `repository:` أو `docs:` يمر عبرها دون تغيير. يعيد منح التحديث اشتقاق رمز جديد من `granted_scopes` المخزنة، والتي تحتوي على ذلك الشكل الموسع، وبالتالي فإن كل عملية تحديث تعيد إنتاج نطاق المنظمة دون إعادة التحقق من العضوية. ونظراً لأن حواف CDN (الشبكات الخاصة بتوصيل المحتوى) تفوض الوصول إلى المستودعات بناءً على مطالبة الرمز المميز دون استعلام قاعدة البيانات، فإن الحساب الذي تم إزالته من منظمة يحتفظ بإمكانية القراءة طالما يستمر في تحديث الرموز، ويكون ذلك محكوماً بعمر رمز التحديث البالغ 30 يوماً بدلاً من عمر رمز الوصول البالغ 30 دقيقة.
تؤثر هذه المشكلة على hex.pm: من تاريخ 2025-10-10 وحتى قبل 2026-08-24.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.