CVE-2026-75554 in hexpm
摘要
由 VulDB • 2026-08-24
hexpm hexpm OAuth令牌刷新授权中的会话过期不足漏洞，允许已被移除组织的用户继续读取其私有包。
lib/hexpm/permissions.ex中的expand_repositories_scope/3函数仅重写字面量仓库范围（literal repositories scope），因此明确授予的repository:或docs:作用域会原封不动地通过该函数。刷新授权会从存储的granted_scopes中重新派生新令牌，而后者包含已扩展的形式，导致每次刷新都会重现组织范围的作用域，且无需再次验证成员资格。由于CDN边缘节点直接从令牌声明（token claim）中授权仓库访问权限，而不查询数据库，因此被移除组织的账户在持续刷新的情况下可保留读取访问权，其有效期受30天刷新令牌生命周期的限制，而非30分钟访问令牌的生命周期。
此问题影响hex.pm：从2025-10-10至2026-08-24之前的版本。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.