CVE-2026-75554 in hexpm
요약
\~에 의해 VulDB • 2026. 08. 24.
hexpm의 OAuth 토큰 갱신(grant) 기능에 있는 세션 만료 불충분(Inufficient Session Expiration) 취약점으로 인해 조직에서 제거된 사용자가 여전히 해당 조직의 비공개 패키지를 읽을 수 있습니다.
lib/hexpm/permissions.ex의 expand_repositories_scope/3 함수는 리터럴 저장소(scope)만 재작성하므로, 명시적으로 부여된 repository:<org> 또는 docs:<org> scope가 변경되지 않고 통과됩니다. 갱신(grant) 기능은 저장된 granted_scopes(이 확장된 형태를 포함함)에서 새 토큰을 다시 유도하므로, 매번 갱신할 때마다 조직(scope)가 재현되며 멤버십 확인 과정을 거치지 않습니다. CDN 에지에서는 토큸 클레임(token claim)으로부터 저장소 접근 권한을 부여할 때 데이터베이스 쿼리를 수행하지 않으므로, 조직에서 제거된 계정이라도 30일짜리 refresh token 수명(30분짜리 access token 수명이 아님) 동안 갱신을 계속하는 한 읽기 액세스를 유지합니다.
이 이슈는 hex.pm에 영향을 미칩니다: 2025-10-10부터 2026-08-24 이전까지.
If you want to get best quality of vulnerability data, you may have to visit VulDB.