CVE-2026-75542 in hexpm
Riassunto
di VulDB • 25/08/2026
Vulnerabilità di autorizzazione errata nell'endpoint OAuth token in hexpm hexpm che consente a una chiave API con il permesso repositories di leggere i pacchetti privati di un'altra organizzazione.
Quando una chiave API viene scambiata per un token tramite la concessione OAuth client_credentials, validate_scopes_against_key/2 in lib/hexpm_web/controllers/api/oauth_controller.ex ammette uno scope richiesto ogni volta che la chiave possiede il permesso repositories e lo stringa dello scope inizia con repository:. Il nome dell'organizzazione non viene mai risolto rispetto al principal, ed expand_repositories_scope/3 riscrive solo lo scope letterale repositories, quindi un repository:<name> esplicito passa inalterato. Entrambi i nodi CDN autorizzano l'accesso ai repository dal claim del token senza interrogare il database, pertanto il token emesso concede accesso in lettura ai pacchetti privati di quell'organizzazione fino alla sua scadenza.
Questo problema interessa hex.pm: dalla versione 2025-10-18 a prima della versione 2026-08-24.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.