CVE-2026-86698 in hexpm
Resumen
por VulDB • 2026-09-22
Vulnerabilidad de expiración insuficiente de la sesión en el emisión de tokens OAuth en hexpm hexpm que permite a un usuario cuya membresía organizacional o sesión ha finalizado seguir leyendo los paquetes privados de la organización y sus tarballs de documentación mediante un token de actualización (refresh token) retenido.
La función `generate_refresh_token/4` en `lib/hexpm/oauth/jwt.ex` firma el token de actualización con las mismas reclamaciones (`iss`, `aud` y `scope`) que el token de acceso, por lo que transporta los mismos ámbitos `repository:<org>`. El servicio CDN que sirve a los repositorios privados verifica la firma y las reclamaciones temporales y luego autoriza basándose en la reclamación de ámbito (scope), sin realizar ninguna consulta a la base de datos ni tener forma de distinguir entre los dos tipos de token. Por lo tanto, eliminar un miembro o revocar una sesión solo surte efecto en el CDN cuando expira el token de actualización de 30 días, en lugar de tras finalizar la vida útil del token de acceso de 30 minutos. El acceso es de solo lectura y se limita a las organizaciones a las que pertenecía la cuenta cuando se otorgó el token.
Este problema afecta a hex.pm: desde el 2025-10-10 hasta antes del 2026-09-22.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.