CVE-2026-23939

Yüksek

Açıklama

hexpm hexpm/hexpm ('Elixir.Hexpm.Store.Local' modülü) içerisindeki Kısıtlanmış Bir Dizine Yol Adının Uygun Şekilde Sınırlandırılmaması ('Path Traversal') zafiyeti, Göreceli Yol Atlamasına (Relative Path Traversal) izin vermektedir. Bu zafiyet; lib/hexpm/store/local.ex program dosyaları ile 'Elixir.Hexpm.Store.Local':get/3, 'Elixir.Hexpm.Store.Local':put/4, 'Elixir.Hexpm.Store.Local':delete/2 ve 'Elixir.Hexpm.Store.Local':delete_many/2 program rutinleri ile ilişkilidir. Bu sorun hex.pm servisini etkilememektedir. Yalnızca Local Storage arka ucunu kullanan kendi sunucusunda barındırılan (self-hosted) kurulumlar etkilenmektedir. Bu sorun hexpm'in 931ee0ed46fa89218e0400a4f6e6d15f96406050 sürümünden 5d2ccd2f14f45a63225a73fb5b1c937baf36fdc0 sürümüne kadar olan kısmını etkilemektedir.

ÖnemYüksek

CVSS7.5

İstismar olasılığı—

ÜrünHexpm

Yayın26 Şub 2026

İlk görülme26 Şub 2026

Zayıflık türüCWE-22Dizin geçişi (path traversal)

Nasıl düzeltilir

Güncelleyin

hex hexpm2026-02-26 ya da sonraki bir sürüm

Yamalar

github.com/hexpm/hexpm/commit/5d2ccd2f14f45a63225a73fb5b1c937baf36fdc0

Üretici duyuruları

github.com/hexpm/hexpm/security/advisories/GHSA-42mv-r64p-4869

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
hex hexpm	2014-09-29 ≤ v < 2026-02-26	2026-02-26

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.