CVE-2026-81856
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Luka w zabezpieczeniach nieprawidłowej neutralizacji sekwencji ucieczki, meta lub kontroli w hexpm hex umożliwia wydawcy złośliwego pakietu lub wrogiemu serwerowi repozytorium wstrzyknięcie sekwencji kontrolnych terminala do danych wyjściowych zadań Mix.
Hex wypisuje ciągi znaków dostarczone przez repozytorium pakietów i usługę wyszukiwania dokumentacji bezpośrednio do terminala poprzez Hex.Shell.info/1 i Hex.Shell.error/1, neutralizując żadne znaki kontrolne. Dotknięte ujścia obejmują metadane pakietów i fragmenty konfiguracji w mix hex.info, wyniki wyszukiwania w mix hex.package search i mix hex.search, listy właścicieli i organizacji, adresy URL publikacji i sponsorów, uwierzytelnioną nazwę użytkownika w mix hex.user, tożsamości zasad w mix hex.policy i treści błędów API renderowane przez Hex.Utils.print_error_result/1. Szkodliwy pakiet może osadzić sekwencje specjalne ANSI (ruch kursora, usuwanie linii, powrót karetki, zapisy do schowka OSC 52) lub dwukierunkowe nadpisania Unicode w dowolnym z tych pól, dzięki czemu bajty docierają do terminala w niezmienionej postaci, fałszując wyświetlane adresy URL, opisy pakietów i sugerowane polecenia, ukrywając rzeczywiste dane wyjściowe lub zapisując do schowka. Nie jest wymagane żadne uwierzytelnienie ani uprzywilejowana pozycja; tylko publikując pakiet.
Ten problem dotyczy heksów: od 0.0.1 do 2.5.2.
>_ Słabości (CWE)
>_ Referencje
- https://cna.erlef.org/cves/CVE-2026-81856.html
- https://github.com/hexpm/hex/commit/211303e3f68f5d3ce06450c1ff1a7a770a9ab236
- https://github.com/hexpm/hex/commit/dd3305ddf0032f6d0b468fd40dbbc3072bfcb8b8
- https://github.com/hexpm/hex/security/advisories/GHSA-fpmj-3cxg-p766
- https://osv.dev/vulnerability/EEF-CVE-2026-81856
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org