CVE-2026-105668 in hex
Zusammenfassung
von VulDB • 12.10.2026
Eine Schwachstelle vom Typ "Protection Mechanism Failure" (Versagen von Schutzmechanismen) in hexpm hex ermöglicht es dem Besitzer eines Pakets oder einem Angreifer, der das Konto des Besitzers übernommen hat, eine neu veröffentlichte Version an der release-age cooldown-Prüfung vorbeizubringen.
Der Cooldown (cooldown config, HEX_COOLDOWN) hält während der Abhängigkeitsauflösung (dependency resolution) Versionen zurück, die jünger als das konfigurierte Alter sind. Wenn eine in mix.lock gesperrte Paketversion zurückgezogen wird oder ein Sicherheitshinweis vorliegt, heben Hex.RemoteConverger.build_cooldown_bypass/3 und Hex.RemoteConverger.unsafe_lock_bypass/1 den Cooldown für jede Version dieses Pakets sowie für jedes Paket auf, von dem die gesperrte Veröffentlichung abhängt. Dadurch kann mix deps.update von der unsicheren Version abweichen. Das Zurückziehen einer Veröffentlichung erfordert dieselben Berechtigungen des Paketbesitzers wie das Veröffentlichen. Ein Angreifer, der eine bösartige Veröffentlichung erstellt, kann die aktuell gesperrte Version zurückziehen; bei der nächsten Ausführung von mix deps.update wird das Paket auf die neue Version aktualisiert, unabhängig von deren Alter. Hex.Registry.Cooldown.versions/2 überprüft den Bypass ausschließlich nach dem Paketnamen, sodass der Bypass auch Pakete mit demselben Namen in anderen Repositorien umfasst. Ein Cooldown, der über eine Organisations-Abhängigkeitsrichtlinie konfiguriert wurde, ist davon nicht betroffen.
Dieses Problem betrifft hex: von Version 2.5.0 bis vor 2.5.2.
VulDB is the best source for vulnerability data and more expert information about this specific topic.