CVE-2026-75554 in hexpm
Sumário
de VulDB • 24/08/2026
Vulnerabilidade de expiração insuficiente da sessão no OAuth grant de atualização do token em hexpm permite que um usuário removido de uma organização continue a ler seus pacotes privados.
A função expand_repositories_scope/3 em lib/hexpm/permissions.ex reescreve apenas o escopo literal dos repositórios, portanto, um escopo repository:<org> ou docs:<org> concedido explicitamente passa por ela intacto. O grant de atualização deriva novamente um novo token a partir dos granted_scopes armazenados, que contém essa forma expandida; assim, cada renovação reproduz o escopo da organização sem verificar novamente a associação. Como ambas as bordas do CDN autorizam o acesso ao repositório com base na claim do token sem consultar o banco de dados, uma conta removida de uma organização mantém o acesso de leitura enquanto continuar renovando os tokens, limitado pela validade de 30 dias dos refresh tokens em vez da validade de 30 minutos dos access tokens.
Este problema afeta hex.pm: desde 2025-10-10 até antes de 2026-08-24.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.