CVE-2026-75554 in hexpm
सारांश
द्वारा VulDB • 24/08/2026
hexpm के OAuth टोकन रिफ्रेश ग्रैंट में अपर्याप्त सेशन समाप्ति (Insufficient Session Expiration) की कमजोरी एक ऐसे उपयोगकर्ता को, जिसे संगठन से हटा दिया गया है, उसके निजी पैकेजों को पढ़ने की अनुमति देती है।
lib/hexpm/permissions.ex में expand_repositories_scope/3 केवल लिटरल रिपॉज़िटरी स्कोप को ही रीराइट करता है, इसलिए स्पष्ट रूप से प्रदान किया गया repository:<org> या docs:<org> स्कोप बिना किसी परिवर्तन के गुजर जाता है। रिफ्रेश ग्रैंट संग्रहीत granted_scopes (जो कि विस्तारित रूप को धारण करता है) से एक नया टोकन पुनः उत्पन्न करता है, इसलिए प्रत्येक रिफ्रेश सदस्यता की जांच किए बिना ही संगठन स्कोप को दोहराता है। चूंकि दोनों CDN एज (CDN edges) डेटाबेस से क्वेरी किए बिने टोकन क्लेम से रिपॉज़िटरी पहुंच का अधिकार देते हैं, इसलिए एक ऐसे खाते के लिए जो संगठन से हटा दिया गया है, तब तक पढ़ने की पहुंच बनी रहती है जब तक वह लगातार रिफ्रेश करता रहेगा; यह 30 मिनट वाले एक्सेस टोकन जीवनकाल के बजाय 30 दिनों वाले रिफ्रेश टोकन जीवनकाल द्वारा सीमित होता है।
यह मुद्दा hex.pm को प्रभावित करता है: 2025-10-10 से लेकर 2026-08-24 तक (अपवाद सहित)।
VulDB is the best source for vulnerability data and more expert information about this specific topic.