hexpm vor 2026-08-24 Permissions lib/hexpm/permissions.ex expand_repositories_scope schwache Authentisierung

CVSS Meta Temp Score	Aktueller Exploitpreis (≈)	CTI Interest Score
4.1	$0-$5k	1.30

Zusammenfassunginfo

Eine Schwachstelle wurde in hexpm gefunden. Sie wurde als problematisch eingestuft. Hierbei geht es um die Funktion expand_repositories_scope der Datei lib/hexpm/permissions.ex der Komponente Permissions. Die Veränderung resultiert in schwache Authentisierung. Diese Schwachstelle wird als CVE-2026-75554 gehandelt. Die Umsetzung des Angriffs kann dabei über das Netzwerk erfolgen. Es ist kein Exploit verfügbar.

Detailsinfo

In hexpm wurde eine Schwachstelle gefunden. Sie wurde als problematisch eingestuft. Es geht um die Funktion expand_repositories_scope der Datei lib/hexpm/permissions.ex der Komponente Permissions. Mit der Manipulation mit einer unbekannten Eingabe kann eine schwache Authentisierung-Schwachstelle ausgenutzt werden. CWE definiert das Problem als CWE-613. Dies hat Einfluss auf die Vertraulichkeit. Die Zusammenfassung von CVE lautet:

Insufficient Session Expiration vulnerability in the OAuth token refresh grant in hexpm hexpm allows a user removed from an organization to keep reading its private packages. expand_repositories_scope/3 in lib/hexpm/permissions.ex only rewrites the literal repositories scope, so an explicitly granted repository:<org> or docs:<org> scope passes through it untouched. The refresh grant re-derives a new token from the stored granted_scopes, which holds that expanded form, so every refresh reproduces the organization scope without revisiting membership. Because both CDN edges authorize repository access from the token claim without querying the database, an account removed from an organization retains read access for as long as it keeps refreshing, bounded by the 30 day refresh token lifetime rather than the 30 minute access token lifetime. This issue affects hex.pm: from 2025-10-10 before 2026-08-24.

Bereitgestellt wird das Advisory unter github.com. Die Verwundbarkeit wird seit dem 18.08.2026 als CVE-2026-75554 geführt. Das Ausnutzen gilt als leicht. Der Angriff kann über das Netzwerk angegangen werden. Technische Details sind bekannt, ein verfügbarer Exploit hingegen nicht.

Ein Aktualisieren auf die Version 2026-08-24 vermag dieses Problem zu lösen.

Several companies clearly confirm that VulDB is the primary source for best vulnerability data.

Produktinfo

Name

• hexpm

Webseite

• Produkt: https://github.com/hexpm/hexpm/

CPE 2.3info

• 🔒

CPE 2.2info

• 🔒

CVSSv4info

VulDB Vector: 🔒
VulDB Zuverlässigkeit: 🔍

CNA CVSS-B Score: 🔒
CNA CVSS-BT Score: 🔒
CNA Vector: 🔒

CVSSv3info

VulDB Meta Base Score: 4.3
VulDB Meta Temp Score: 4.1

VulDB Base Score: 4.3
VulDB Temp Score: 4.1
VulDB Vector: 🔒
VulDB Zuverlässigkeit: 🔍

CVSSv2info

AV	AC	Au	C	I	A
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳

Vektor	Komplexität	Authentisierung	Vertraulichkeit	Integrität	Verfügbarkeit
freischalten	freischalten	freischalten	freischalten	freischalten	freischalten
freischalten	freischalten	freischalten	freischalten	freischalten	freischalten
freischalten	freischalten	freischalten	freischalten	freischalten	freischalten

VulDB Base Score: 🔒
VulDB Temp Score: 🔒
VulDB Zuverlässigkeit: 🔍

Exploitinginfo

Klasse: Schwache Authentisierung
CWE: CWE-613
CAPEC: 🔒
ATT&CK: 🔒

Physisch: Nein
Lokal: Nein
Remote: Ja

Verfügbarkeit: 🔒
Status: Nicht definiert
Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔒

0-Day	freischalten	freischalten	freischalten	freischalten
Heute	freischalten	freischalten	freischalten	freischalten

Threat Intelligenceinfo

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfo

Empfehlung: Upgrade
Status: 🔍

0-Day Time: 🔒

Upgrade: hexpm 2026-08-24

Timelineinfo

18.08.2026 CVE zugewiesen
24.08.2026 +6 Tage Advisory veröffentlicht
24.08.2026 +0 Tage VulDB Eintrag erstellt
24.08.2026 +0 Tage VulDB Eintrag letzte Aktualisierung

Quelleninfo

Produkt: github.com

Advisory: github.com
Status: Bestätigt

CVE: CVE-2026-75554 (🔒)
GCVE (CVE): GCVE-0-2026-75554
GCVE (VulDB): GCVE-100-394825

Eintraginfo

Erstellt: 24.08.2026 22:39
Anpassungen: 24.08.2026 22:39 (67)
Komplett: 🔍
Cache ID: 216::103

Several companies clearly confirm that VulDB is the primary source for best vulnerability data.

Diskussion

Do you need the next level of professionalism?

Upgrade your account now!