CVE-2026-81856

Nome do Software Vulnerável e Versões Afetadas hexpm hex versões 0.0.1 até 2.5.1

Descrição A neutralização inadequada de sequências de escape, meta ou de controle permite que um publicador de pacotes malicioso ou um servidor de repositório hostil injete sequências de controle de terminal na saída de tarefas Mix. O software imprime strings do repositório de pacotes e do serviço de busca de documentação diretamente no terminal através de Hex.Shell.info/1 e Hex.Shell.error/1, sem neutralizar caracteres de controle. Isso afeta metadados de pacotes, trechos de configuração em mix hex.info, resultados de busca em mix hex.package search e mix hex.search, listagens de proprietários e organizações, URLs de publicação e patrocínio, o nome de usuário autenticado em mix hex.user, identidades de política em mix hex.policy e corpos de erro de API renderizados por Hex.Utils.print error result/1. Um invasor pode incorporar sequências de escape ANSI — como movimento de cursor, exclusão de linha, retornos de carro e gravações de área de transferência OSC 52 — ou sobreposições bidirecionais Unicode para forjar URLs exibidas, descrições de pacotes e comandos sugeridos, ocultar a saída real ou escrever na área de transferência. Isso pode ser acionado por qualquer desenvolvedor que execute uma busca de documentação que exiba um pacote malicioso.

Recomendações Atualize o hexpm hex para a versão 2.5.2 ou posterior usando mix local.hex.