CVE-2026-21621

hexpm hexpm/hexpm ('Elixir.HexpmWeb.API.OAuthController' modülü) içerisindeki Hatalı Yetkilendirme zafiyeti, Yetki Yükseltmeye olanak tanır. Sadece okuma izinleriyle (alan: "api", kaynak: "read") oluşturulmuş bir API anahtarı, belirli koşullar altında tam yazma erişimine yükseltilebilir. Bir salt okunur API anahtarı OAuth client_credentials izni aracılığıyla takas edildiğinde, kaynak belirleyici göz ardı edilir. Sonuç olarak oluşan JWT, beklenen "api:read" kapsamı yerine geniş "api" kapsamını alır. Bu nedenle söz konusu jeton, tam API erişimine sahipmiş gibi değerlendirilir. Bir saldırgan, kurbanın salt okunur API anahtarını ve kurban hesabı için geçerli bir 2FA (TOTP) kodu elde edebilirse, hatalı kapsamlandırılmış JWT'yi kullanarak; varsayılan olarak süresi dolmayan, kısıtlamasız API izinlerine sahip ve paket yayınlama, emekliye ayırma veya değiştirme gibi yazma işlemlerini gerçekleştirebilen yeni bir tam erişimli API anahtarı oluşturabilir. Bu zafiyet, lib/hexpm_web/controllers/api/oauth_controller.ex program dosyaları ve 'Elixir.HexpmWeb.API.OAuthController':validate_scopes_against_key/2 program rutinleri ile ilişkilidir. Bu sorun, hexpm: 71829cb6f6559bcceb1ef4e43a2fb8cdd3af654b sürümünden 71c127afebb7ed7cc637eb231b98feb802d62999 sürümüne kadar olan sürümleri etkilemektedir.