CVE-2026-103503

Nome do Software Vulnerável e Versões Afetadas hexpm hex versões 0.20.2 até 2.5.1

Descrição A validação inadequada de certificados permite que um invasor capaz de interceptar conexões HTTPS se passe por um host do Hex. Isso ocorre quando os usuários configuram cacerts path (ou HEX CACERTS PATH) para um armazenamento de CA específico que exclui certas CAs, mas o software continua a confiar no armazenamento de CA integrado. Especificamente, a função Hex.HTTP.SSL.ssl opts/1 constrói um callback partial chain usando o armazenamento integrado, independentemente da configuração de cacerts path. Consequentemente, a função Hex.HTTP.SSL.partial chain/2 pode aceitar uma cadeia de servidores se qualquer certificado corresponder a uma chave pública no armazenamento integrado, ignorando o armazenamento de CA restrito do usuário. Um invasor que possua um certificado para o host emitido por uma CA integrada pode interceptar chaves de API, tokens OAuth e chaves de repositório, além de modificar respostas de API. A verificação de nome de host e as somas de verificação de pacotes permanecem ativas.

Recomendações Atualize o hexpm hex para a versão 2.5.2 ou posterior.