CVE-2026-105280

Niewłaściwa weryfikacja wartości kontroli integralności Luka w zabezpieczeniach hexpm hex pozwala lustrzanemu pakietowi zastąpić archiwum tar zawierające mieszankę hex.package fetch WERSJA PAKIETU --output - zapisuje na standardowe wyjście.

Hex porównuje wewnętrzne i zewnętrzne sumy kontrolne pobranej archiwum tar z podpisanym rejestrem repozytorium przed zapisaniem go do pliku lub rozpakowaniem. Standardowa gałąź wyjściowa mix hex.package fetch zapisuje bajty zwrócone przez Hex.SCM.fetch/3 bez tego porównania, a Hex.SCM.fetch/3 sam nie weryfikuje świeżo pobranych paczek tar. Kiedy serwer lustrzany skonfigurowany z HEX_MIRROR_URL lub lustro_url udostępnia zmienione bajty, polecenie drukuje je i kończy się pomyślnie, podczas gdy to samo pobieranie z opcją --output FILE kończy się niepowodzeniem z powodu niezgodności sumy kontrolnej.

Podczas działania polecenia Hex wypisuje także na standardowe wyjście dane diagnostyczne: treść nieudanej odpowiedzi HTTP ze sprawdzania aktualizacji lub pobierania rejestru oraz ostrzeżenia API z nagłówka wiadomości x-hex. Lustro, które odpowiada na jedno z tych żądań z błędem, którego treścią jest archiwum tar, zapisuje to archiwum na standardowe wyjście przed zweryfikowaną paczką tar, więc potok rozpakowujący standardowe wyjście wyodrębnia pliki lustrzane. Dzieje się tak nawet wtedy, gdy sprawdzenie sumy kontrolnej nie powiedzie się, ponieważ archiwum znajduje się już na standardowym wyjściu.

Ten problem dotyczy heksów: od 0.20.2 do 2.5.2.