CVE-2026-21621

hexpm hexpm/hexpm ('Elixir.HexpmWeb.API.OAuthController' modulu) proqramındakı yanlış avtorizasiya zəifliyi imtiyazların yüksəldilməsinə imkan verir. Yalnız oxuma icazələri ilə yaradılmış bir API açarı (domain: "api", resource: "read") müəyyən şərtlər daxilində tam yazı girişinə yüksəldilə bilər. OAuth client_credentials grant vasitəsilə yalnız oxuma icazəli API açarının dəyişdirilməsi zamanı resurs kvalifikatoru nəzərə alınmır. Nəticədə yaranan JWT gözlənilən "api:read" əhatəsi yerinə geniş "api" əhatəsini alır. Buna görə də bu token tam API girişinə malik kimi qəbul edilir. Əgər hücumçu qurbanın yalnız oxuma icazəli API açarını və qurban hesab üçün etibarlı 2FA (TOTP) kodunu əldə edə bilsə, səhv təyin edilmiş əhatəyə malik JWT-dən istifadə edərək, standart olaraq vaxtı bitməyən və paketlərin dərc edilməsi, geri çəkilməsi və ya dəyişdirilməsi kimi yazı əməliyyatlarını yerinə yetirə bilən məhdudiyyətsiz tam girişli yeni API açarı yarada bilər. Bu zəiflik lib/hexpm_web/controllers/api/oauth_controller.ex proqram faylları və 'Elixir.HexpmWeb.API.OAuthController':validate_scopes_against_key/2 proqram rutinləri ilə əlaqəlidir. Bu problem hexpm versiyalarını etkileyir: 71829cb6f6559bcceb1ef4e43a2fb8cdd3af654b commit-indən başlayaraq 71c127afebb7ed7cc637eb231b98feb802d62999 commit-indən əvvəlki versiyalar.