CVE-2026-86698 in hexpm
要約
〜によって VulDB • 2026年09月22日
hexpm の hexpm における OAuth トークン発行の処理に、不十分なセッション期限切れ（Insufficient Session Expiration）脆弱性があります。これにより、組織への所属関係やセッションが終了したユーザーでも、保持されたリフレッシュトークンを介して、組織のプライベートパッケージおよびそのドキュメント tarball を読み取り続けることができます。
lib/hexpm/oauth/jwt.ex の generate_refresh_token/4 関数は、アクセストークンと同じ iss（発行者）、aud（対象者）、scope（スコープ）クレームを使用してリフレッシュトークンの署名を行います。そのため、同じ repository:<org> スコープを保持します。プライベートレポジトリを提供する CDN サービスは、署名とタイムスタンプのクレームを検証し、その後スコープのクレームに基づいて認可を実行しますが、データベース参照を行わず、2種類のトークンを区別する方法がありません。したがって、メンバーの削除やセッションの取り消しは、アクセストークンの有効期間である30分後ではなく、リフレッシュトークンが期限切れとなる30日後にのみ CDN で反映されます。アクセス権限は読み取り専用であり、トークン付与時にアカウントが所属していた組織に限定されています。
この問題は hex.pm に影響します：2025-10-10 から 2026-09-22 の間（該当バージョン）。
If you want to get best quality of vulnerability data, you may have to visit VulDB.