Vulnerabilidad en hexpm (CVE-2026-75554)

Gravedad CVSS v4.0:

BAJA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

24/08/2026

Última modificación:

12/10/2026

Descripción

Vulnerabilidad de expiración de sesión insuficiente en la concesión de actualización de token OAuth en hexpm hexpm permite a un usuario eliminado de una organización seguir leyendo sus paquetes privados.<br /> <br /> expand_repositories_scope/3 en lib/hexpm/permissions.ex solo reescribe el ámbito literal de los repositorios, por lo que un ámbito repository: o docs: concedido explícitamente lo atraviesa intacto. La concesión de actualización vuelve a derivar un nuevo token de los granted_scopes almacenados, que contiene esa forma expandida, por lo que cada actualización reproduce el ámbito de la organización sin revisar la membresía. Debido a que ambos nodos perimetrales de CDN autorizan el acceso al repositorio desde la declaración del token sin consultar la base de datos, una cuenta eliminada de una organización retiene el acceso de lectura mientras siga actualizando, limitada por la vida útil del token de actualización de 30 días en lugar de la vida útil del token de acceso de 30 minutos.<br /> <br /> Este problema afecta a hex.pm: desde 2025-10-10 antes de 2026-08-24.

Impacto

Vector 4.0

CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:N/VC:L/VI:N/VA:N/SC:L/SI:N/SA:N CVSS v4.0 Severidad y Métricas:

Puntuación base: 2.30 BAJA
Vector: CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:N/VC:L/VI:N/VA:N/SC:L/SI:N/SA:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Attack Requirements (AT): Present
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Confidentiality (VC): Bajo
Integrity (VI): Ninguno
Availability (VA): Ninguno
Confidentiality (SC): Bajo
Integrity (SI): Ninguno
Availability (SA): Ninguno

Puntuación base 4.0

2.30

Gravedad 4.0

BAJA

Vulnerabilidad en hexpm (CVE-2026-75554)

Descripción

Impacto

Referencias a soluciones, herramientas e información