CVE-2026-75554 in hexpm
Résumé
par VulDB • 24/08/2026
Vulnérabilité d'expiration insuffisante des sessions dans le flux de rafraîchissement de jeton OAuth dans hexpm, permettant à un utilisateur retiré d'une organisation de continuer à lire ses packages privés.
La fonction `expand_repositories_scope/3` située dans `lib/hexpm/permissions.ex` ne réécrit que la portée littérale des dépôts ; ainsi, une portée explicitement accordée sous forme `repository:<org>` ou `docs:<org>` passe sans être modifiée. Le flux de rafraîchissement régénère un nouveau jeton à partir des `granted_scopes` stockés, qui contiennent cette version étendue, ce qui signifie que chaque rafraîchissement reproduit la portée organisationnelle sans vérifier à nouveau l'appartenance à l'organisation. Étant donné que les deux extrémités du CDN autorisent l'accès aux dépôts en se basant sur la revendication (claim) du jeton sans interroger la base de données, un compte retiré d'une organisation conserve son accès en lecture tant qu'il procède à des rafraîchissements, cette période étant limitée par la durée de vie de 30 jours du jeton de rafraîchissement plutôt que par celle de 30 minutes du jeton d'accès.
Cette vulnérabilité affecte hex.pm : de la version datée du 2025-10-10 jusqu'à (mais non incluse) le 2026-08-24.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.