CVE-2026-105668

Nome do Software Vulnerável e Versões Afetadas hexpm hex versões 2.5.0 a 2.5.1

Description Uma falha no mecanismo de proteção permite que o proprietário de um pacote, ou um invasor com acesso à conta, ignore o período de carência (cooldown) de lançamento. O cooldown, configurado via cooldown ou HEX COOLDOWN, normalmente retém versões com idade inferior a um período específico durante a resolução de dependências. No entanto, quando um lançamento travado no mix.lock é aposentado ou possui um aviso de segurança, as funções Hex.RemoteConverger.build cooldown bypass/3 e Hex.RemoteConverger.unsafe lock bypass/1 removem o cooldown para esse pacote e suas dependências para permitir que o mix deps.update migre para um lançamento seguro. Como a função Hex.Registry.Cooldown.versions/2 verifica a liberação apenas pelo nome do pacote, um invasor pode publicar um lançamento malicioso e aposentar a versão travada atualmente, forçando o sistema a selecionar o novo lançamento malicioso independentemente de sua idade. Essa liberação também se estende a pacotes com o mesmo nome em outros repositórios. Este problema não afeta cooldowns configurados por meio de políticas de dependência de organização.

Recommendations Atualize o hexpm hex para a versão 2.5.2 ou posterior usando mix local.hex. Aplique o cooldown por meio de uma política de dependência de organização em vez da configuração local cooldown. Execute mix hex.audit antes de mix deps.update e evite atualizar pacotes cujo lançamento travado foi aposentado até que a substituição tenha sido revisada.