CVE-2026-75542

Nome do Software Vulnerável e Versões Afetadas hexpm versões 2025-10-18 through 2026-08-23

Description Um problema de autorização incorreta existe no endpoint de token OAuth. Uma chave de API com a permissão repositories pode ser usada para ler pacotes privados pertencentes a outra organização. Isso ocorre durante o processo de concessão client credentials do OAuth na função validate scopes against key/2 em lib/hexpm web/controllers/api/oauth controller.ex, que permite um escopo solicitado sempre que a chave possui a permissão repositories e a string de escopo começa com repository:. Como o nome da organização não é resolvido em relação ao principal e a função expand repositories scope/3 apenas reescreve o escopo literal repositories, um escopo explícito repository:<name> é aceito. Consequentemente, as bordas do CDN autorizam o acesso com base na reivindicação do token sem verificação no banco de dados, concedendo acesso de leitura aos pacotes privados da organização especificada até que o token expire.

Recommendations Atualize o hexpm para uma versão lançada em ou após 24-08-2026.