CVE-2026-96618

hexpm hex proqramındakı Yüksək Sığdırılmış Məlumatların Yanlış İdarə Edilməsi (Məlumatın Gücləndirilməsi) zəifliyi, etibarsız paket güzgüsinə (mirror) mix deps.get, mix deps.update, mix hex.package fetch və ya mix hex.docs fetch əmrlərini işlədən maşının yaddaşını və ya disk sahəsini doldurmağa imkan verir. Hex, HEX_MIRROR_URL, HEX_MIRROR və ya mirror_url ilə konfiqurasiya edilmiş güzgünü etibarsız hesab edir: ona etibarnamələri göndərmir, həmçinin güzgünün saxtalaşa bilməyəcəyi reyestr imzalarını və paket checksum-larını yoxlayır. Bir neçə cavab yolu, bu yoxlamaların hər hansı biri icra edilməzdən əvvəl, güzgünün göndərdiyi məlumatla mütənasib olaraq yaddaşı və ya diski istifadə edir. Hex.HTTP.request/5 funksiyası, cavabın Content-Encoding hissəsi gzip ehtiva etdikdə, sıxılmış və ya sıxılmamış ölçüyə heç bir məhdudiyyət qoymadan bütün cavab gövdəsini yaddaşa oxuyur və onu :zlib.gunzip/1 ilə sıxılmış haldan çıxarır. Hex sıxılmış cavablar tələb etmir, buna görə də bu addımın icrasına server qərar verir. Bu, reyestr, paket, sənədlər və API cavablarına şamil edilir. Paket tarball-ları üçün yükləmə ölçüsü limiti yoxdur. Hex 2.5.1 bütün tarball-ı yaddaşda saxlayır və onu keşə yazır, inkişaf filialı (development branch) isə onu müvəqqəti fayla axın şəklində ötürür; 16 MiB tarball limiti yalnız fayl açıldıqda yoxlanılır. Daha sonra tarball, onun checksum-ları reyestrlə müqayisə edilməzdən əvvəl, 2.5.1 versiyasında deps/<app> qovluğuna, inkişaf filialında isə müvəqqəti (staging) kataloga açılır. Sənədlər olmadıqda mix hex.docs fetch və mix hex.docs offline əmrləri sənəd tarball-ını diskə yazır və onu mix_hex_tarball:unpack_docs/3 tərəfindən tətbiq edilən 16 MiB sıxılmış və 128 MiB sıxılmamış limitləri olmadan :mix_hex_erl_tar.extract/2 ilə açır. İmzalanmış reyestr sənəd tarball-larını əhatə etmir, buna görə də onları yoxlayan heç bir mexanizm yoxdur. Reyestr cavabları da, Hex-in təminatçı kimi təqdim etdiyi hex_core kodunda, onların imzası yoxlanılmazdan əvvəl sıxılmış haldan çıxarılır; həmin hissə https://github.com/hexpm/hex_core/security/advisories/GHSA-7c4r-cgf9-9jmq ünvanında izlənilir. Bu problem hex-in 0.11.2 versiyasından 2.5.2 versiyasına qədər olan hissəsinə təsir edir.