CVE-2026-105280

Nome do Software Vulnerável e Versões Afetadas hexpm hex versões 0.20.2 até 2.5.1

Descrição A validação inadequada do valor de verificação de integridade permite que um espelho de pacotes substitua um tarball ao utilizar o comando mix hex.package fetch PACKAGE VERSION --output -. O Hex normalmente compara as somas de verificação (checksums) interna e externa de um tarball baixado com o registro assinado do repositório; no entanto, o ramo de saída padrão escreve os bytes retornados pela função Hex.SCM.fetch/3 sem essa comparação. Além disso, a função Hex.SCM.fetch/3 não verifica tarballs recém-baixados.

Quando um espelho configurado via HEX MIRROR URL ou mirror url fornece bytes alterados, o comando os imprime e sai com sucesso. Além disso, o Hex imprime diagnósticos na saída padrão, incluindo o corpo de respostas HTTP falhas ou avisos de API do cabeçalho x-hex-message. Um espelho pode responder a essas solicitações com um erro contendo um arquivo tar, que é então gravado na saída padrão antes do tarball verificado. Isso permite que um pipeline que descompacta a saída padrão extraia arquivos fornecidos pelo espelho, mesmo que a verificação de checksum falhe posteriormente.

Recomendações Atualize o hexpm hex para a versão 2.5.2 ou posterior. Como solução temporária, grave o tarball em um arquivo usando --output FILE em vez da saída padrão para garantir que as somas de verificação sejam validadas.