CVE-2026-32148

hexpm hex (Hex.RemoteConverger modülü) içerisindeki Veri Özgünlüğünün Yetersiz Doğrulanması zafiyeti, doğrulanmamış lockfile sağlama toplamları (checksums) aracılığıyla bağımlılık bütünlüğünün atlatılmasına izin verir. Hex, yeniden üretilebilir ve bütünlüğü kontrol edilmiş derlemeler sağlamak için bağımlılıklara ait sağlama toplamlarını mix.lock dosyasında saklar. Ancak, Hex.Utils.lock/1 tarafından döndürülen kilit verileri dize tabanlı bağımlılık adları kullanırken, doğrulama mantığı atom tabanlı adlarla karşılaştırma yaptığı için Hex.RemoteConverger.verify_resolved/2 hiçbir zaman sağlama toplamı doğrulamasını yürütmez. Bu tür uyuşmazlığı, doğrulama kod yolunun sessizce atlanmasına neden olur. Paketler kayıt defterinden ilk kez indirildiğinde sağlama toplamları hala doğrulanır, ancak lockfile ile çözümlenen bağımlılıklar arasındaki uyumsuzluklar tespit edilemez. Önbelleğe alınmış paketleri etkileyebilen bir saldırgan (örneğin yerel önbellek zehirlemesi veya ele geçirilmiş bir kayıt defteri yoluyla), tespit edilmeden kabul edilecek değiştirilmiş bağımlılık içerikleri sağlayabilir. mix.lock dosyası, kayıt defterindeki sağlama toplamı değerleriyle sessizce yeniden yazılarak kurcalama kanıtlarını siler. Bu sorun, 0.16.0'dan 2.4.2 öncesine kadar olan hex sürümlerini etkilemektedir.