CVE-2026-75542 in hexpm
요약
\~에 의해 VulDB • 2026. 08. 24.
hexpm의 OAuth 토큰 엔드포인트에서 잘못된 권한 부여(Incorrect Authorization) 취약점이 존재하여, repositories 권한을 가진 API 키를 사용하여 다른 조직의 비공개 패키지를 읽는 것이 가능합니다.
API 키가 OAuth client_credentials 인증 방식을 통해 토큰으로 교환될 때, `lib/hexpm_web/controllers/api/oauth_controller.ex` 내의 `validate_scopes_against_key/2` 함수는 해당 키에 repositories 권한이 있고 요청된 scope 문자열이 `repository:`로 시작하는 경우 항상 요청된 scope를 허용합니다. 조직 이름은 주체(principal)와 비교되지 않으며, `expand_repositories_scope/3`는 리터럴 repositories scope만 재작성하므로 명시적인 `repository:<name>`가 수정 없이 통과됩니다. CDN 에지에서는 데이터베이스 쿼리 없이 토큰 클레임에서 repository 접근을 승인하므로, 만료될 때까지 해당 조직의 비공개 패키지에 대한 읽기 권한이 부여된 토큰이 발급됩니다.
본 이슈는 hex.pm에 영향을 미치며, 2025-10-18부터 2026-08-24 이전 버전에서 발생합니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.