CVE-2026-75542 in hexpm
Zusammenfassung
von VulDB • 24.08.2026
Eine Schwachstelle für fehlerhafte Autorisierung im OAuth-Tokenendpunkt von hexpm (hexpm) ermöglicht es einem API-Schlüssel mit der Berechtigung „repositories“, auf private Pakete einer anderen Organisation zuzugreifen.
Wenn ein API-Schlüssel über den OAuth-Client-Credentials-Grant gegen einen Token ausgetauscht wird, lässt `validate_scopes_against_key/2` in `lib/hexpm_web/controllers/api/oauth_controller.ex` eine angeforderte Scope immer zu, wenn der Schlüssel die Berechtigung „repositories“ trägt und die Scope-Zeichenkette mit `repository:` beginnt. Der Organisationsname wird niemals gegen den Principal (Hauptkonto) geprüft, und `expand_repositories_scope/3` überschreibt nur den wörtlichen Scope „repositories“, sodass ein expliziter `repository:<Name>` unverändert durchgeht. Beide CDN-Kanten autorisieren den Repository-Zugriff basierend auf dem Token-Anspruch ohne Datenbankabfrage, sodass der ausgestellte Token Lesezugriff auf die privaten Pakete dieser Organisation bis zum Ablauf des Tokens gewährt.
Dieses Problem betrifft hex.pm: von 2025-10-18 vor 2026-08-24.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.