CVE-2026-103503

hexpm hex içerisindeki Hatalı Sertifika Doğrulaması zafiyeti; HTTPS bağlantılarını kesebilen ve Hex'in paketli CA deposundaki bir CA tarafından düzenlenmiş bir Hex ana bilgisayarı sertifikasına sahip olan bir saldırganın, cacerts_path parametresini söz konusu CA'yı dışlayan bir CA deposuna ayarlayan kullanıcılara karşı bu ana bilgisayar taklidi yapmasına olanak tanır. cacerts_path (HEX_CACERTS_PATH), Hex ile birlikte gelen CA paketi yerine kullanılan CA sertifika deposunun yolu olarak belgelenmiştir. Hex.HTTP.SSL.ssl_opts/1 yapılandırılmış depoyu cacerts seçeneği olarak geçirir ancak cacerts_path ayarlanmış olsun veya olmasın partial_chain geri çağırmasını paketli depo üzerinden oluşturur. Hex.HTTP.SSL.partial_chain/2, içindeki herhangi bir sertifika paketli bir CA sertifikasıyla aynı genel anahtara sahip olduğunda sunucu zincirini kabul eder; böylece yapılandırılmış depo o CA'yı içermese bile paketli bir CA'ya çıkan bir zincir doğrulamadan geçer. Ana bilgisayar adı doğrulaması hala geçerlidir. Bu sorun hex ürününün 0.20.2 sürümünden 2.5.2 sürümü öncesine kadar olan versiyonlarını etkilemektedir.