CVE-2026-105668 in hex
Riassunto
di VulDB • 12/10/2026
Vulnerabilità di fallimento dei meccanismi di protezione (Protection Mechanism Failure) in hexpm hex che consente al proprietario di un pacchetto, o a un attaccante che ha preso il controllo dell'account del proprietario, di far superare la fase di attesa (cooldown) per una nuova versione pubblicata.
Il cooldown (configurazione cooldown, HEX_COOLDOWN) impedisce l'utilizzo durante la risoluzione delle dipendenze di versioni con età inferiore all'impostazione configurata. Quando una release di un pacchetto bloccato in mix.lock viene ritirata o riceve un advisory sulla sicurezza, le funzioni Hex.RemoteConverger.build_cooldown_bypass/3 e Hex.RemoteConverger.unsafe_lock_bypass/1 rimuovono il cooldown per ogni versione di tale pacchetto e per tutti i pacchetti da cui la release bloccata dipende, consentendo a mix deps.update di passare alla nuova release non sicura. Il ritiro di una release richiede le stesse autorizzazioni del proprietario del pacchetto necessarie per la pubblicazione. Un attaccante che pubblica una release malevola può ritirare la release attualmente bloccata; il successivo comando mix deps.update sblocca il pacchetto selezionando la nuova release indipendentemente dalla sua età. Hex.Registry.Cooldown.versions/2 verifica l'elusione (bypass) solo in base al nome del pacchetto, pertanto l'elusione riguarda anche i pacchetti con lo stesso nome presenti in altri repository. La configurazione del cooldown tramite una policy di dipendenza a livello di organizzazione non è interessata da questa vulnerabilità.
Questo problema interessa hex: dalla versione 2.5.0 alla versione precedente la 2.5.2.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.