CVE-2026-81856

hexpm hex-dəki "Escape, Meta və ya İdarəetmə Ardıcıllıqlarının Yanlış Neytrallaşdırılması" zəifliyi, bədniyyətli paket nəşrcisinə və ya düşmən repozitoriya serverinə Mix tapşırıqlarının çıxışına terminal idarəetmə ardıcıllıqlarını yerləşdirməyə imkan verir. Hex, paket repozitoriyası və sənədləşmə axtarış xidməti tərəfindən təmin edilən sətirləri heç bir idarəetmə simvolunu neytrallaşdırmadan birbaşa Hex.Shell.info/1 və Hex.Shell.error/1 vasitəsilə terminala çap edir. Təsirə məruz qalan sahələr mix hex.info-dakı paket meta-məlumatları və konfiqurasiya parçalarını, mix hex.package search və mix hex.search-dəki axtarış nəticələrini, sahib və təşkilat siyahılarını, nəşr və sponsor URL-lərini, mix hex.user-də autentifikasiya olunmuş istifadəçi adını, mix hex.policy-dəki siyasət kimliklərini və Hex.Utils.print_error_result/1 tərəfindən render olunan API xəta gövdələrini əhatə edir. Bədniyyətli paket bu sahələrin hər hansı birində ANSI escape ardıcıllıqlarını (kursorun hərəkəti, sətrin silinməsi, carriage return, OSC 52 bufer yazmaları) və ya Unicode bidireksional override-larını yerləşdirə bilər, beləliklə baytlar dəyişdirilmədən terminala çataraq göstərilən URL-ləri, paket təsvirlərini və təklif olunan əmrləri saxtalaşdıra, real çıxışı gizlədə və ya buferə yaza bilər. Heç bir autentifikasiya və ya imtiyazlı mövqe tələb olunmur; yalnız paketin nəşr edilməsi kifayətdir. Bu problem hex versiyaları üçün aktualdır: 0.0.1-dən 2.5.2-yə qədər.