Vulnerabilidad en hexpm (CVE-2026-21621)

Gravedad CVSS v4.0:

ALTA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

05/03/2026

Última modificación:

06/04/2026

Descripción

Vulnerabilidad de autorización incorrecta en hexpm hexpm/hexpm (módulo &#39;Elixir.HexpmWeb.API.OAuthController&#39;) permite la escalada de privilegios. Una clave API creada con permisos de solo lectura (dominio: "api", recurso: "read") puede ser escalada a acceso completo de escritura bajo condiciones específicas. Al intercambiar una clave API de solo lectura a través de la concesión OAuth client_credentials, el calificador de recurso es ignorado. El JWT resultante recibe el ámbito amplio "api" en lugar del ámbito esperado "api:read". Este token es, por lo tanto, tratado como si tuviera acceso completo a la API. Si un atacante es capaz de obtener una clave API de solo lectura de una víctima y un código 2FA (TOTP) válido para la cuenta de la víctima, pueden usar el JWT con ámbito incorrecto para crear una nueva clave API de acceso completo con permisos de API ilimitados que no expira por defecto y puede realizar operaciones de escritura como publicar, retirar o modificar paquetes. Esta vulnerabilidad está asociada con los archivos de programa lib/hexpm_web/controllers/api/oauth_controller.ex y las rutinas de programa &#39;Elixir.HexpmWeb.API.OAuthController&#39;:validate_scopes_against_key/2. Este problema afecta a hexpm: desde 71829cb6f6559bcceb1ef4e43a2fb8cdd3af654b antes de 71c127afebb7ed7cc637eb231b98feb802d62999.

Impacto

Vector 4.0

CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:N/VC:N/VI:H/VA:L/SC:N/SI:H/SA:N CVSS v4.0 Severidad y Métricas:

Puntuación base: 7.00 ALTA
Vector: CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:N/VC:N/VI:H/VA:L/SC:N/SI:H/SA:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Attack Requirements (AT): Present
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Confidentiality (VC): Ninguno
Integrity (VI): Alto
Availability (VA): Bajo
Confidentiality (SC): Ninguno
Integrity (SI): Alto
Availability (SA): Ninguno

Puntuación base 4.0

7.00

Gravedad 4.0

ALTA

Vector 3.x

CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:N/I:H/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 5.30 MEDIA
Vector: CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:N/I:H/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Alto
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Ninguno