PT-2026-36158
CVE-2026-32148
·
تاريخ النشر
2026-04-30
·
تاريخ التحديث
2026-10-17
الوصف من
CVSS 4.0
8.9
عاليةالمقاييسAV:N/AC:L/AT:P/PR:N/UI:A/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات hex من 0.16.0 إلى 2.4.1
الوصف
يؤدي عدم كفاية التحقق من صحة البيانات في الوحدة النمطية
Hex.RemoteConverger إلى إمكانية تجاوز سلامة التبعيات. تفشل الدالة Hex.RemoteConverger.verify resolved/2 في تنفيذ التحقق من المجموع الاختباري بسبب عدم تطابق الأنواع: حيث تُرجع الدالة Hex.Utils.lock/1 أسماء التبعيات على شكل سلاسل نصية، في حين أن منطق التحقق يتوقع أسماءً قائمةً على الذرات. يؤدي هذا إلى تخطي عملية التحقق بصمت. وعلى الرغم من التحقق من صحة المجموعات الاختبارية أثناء التنزيل الأولي من السجل، إلا أنه لا يتم الكشف عن التباينات بين ملف القفل والتبعيات التي تم حلها. يمكن للمهاجم القادر على التأثير على الحزم المخزنة مؤقتًا، مثلًا من خلال تسميم ذاكرة التخزين المؤقتة المحلية أو سجل تم اختراقه، تقديم محتويات تبعيات معدلة يتم قبولها دون اكتشاف، حيث يتم تحديث ملف mix.lock بصمت باستخدام المجموعات الاختبارية الخاصة بالسجل.التوصيات
قم بالتحديث إلى الإصدار 2.4.2.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾