Instituto Nacional de ciberseguridad. Sección Incibe

017 - Ir a la línea de ayuda en Ciberseguridad    Ir a Agenda     Ir a Sala de prensa     Ir a suscripción de boletines

Ir al buscador

Boletín de vulnerabilidades

Vulnerabilidades con productos recientemente documentados:

No hay vulnerabilidades nuevas para los productos a los que está suscrito.



Otras vulnerabilidades de los productos a los que usted está suscrito, y cuya información ha sido actualizada recientemente:

  • Vulnerabilidad en hexpm (CVE-2026-21621)
    Severidad: ALTA
    Fecha de publicación: 05/03/2026
    Fecha de última actualización: 25/03/2026
    Vulnerabilidad de autorización incorrecta en hexpm hexpm/hexpm (módulo 'Elixir.HexpmWeb.API.OAuthController') permite la escalada de privilegios. Una clave API creada con permisos de solo lectura (dominio: "api", recurso: "read") puede ser escalada a acceso completo de escritura bajo condiciones específicas. Al intercambiar una clave API de solo lectura a través de la concesión OAuth client_credentials, el calificador de recurso es ignorado. El JWT resultante recibe el ámbito amplio "api" en lugar del ámbito esperado "api:read". Este token es, por lo tanto, tratado como si tuviera acceso completo a la API. Si un atacante es capaz de obtener una clave API de solo lectura de una víctima y un código 2FA (TOTP) válido para la cuenta de la víctima, pueden usar el JWT con ámbito incorrecto para crear una nueva clave API de acceso completo con permisos de API ilimitados que no expira por defecto y puede realizar operaciones de escritura como publicar, retirar o modificar paquetes. Esta vulnerabilidad está asociada con los archivos de programa lib/hexpm_web/controllers/api/oauth_controller.ex y las rutinas de programa 'Elixir.HexpmWeb.API.OAuthController':validate_scopes_against_key/2. Este problema afecta a hexpm: desde 71829cb6f6559bcceb1ef4e43a2fb8cdd3af654b antes de 71c127afebb7ed7cc637eb231b98feb802d62999.