CVE-2026-59247

Gleam'de Veri Özgünlüğünün Yetersiz Doğrulanması zafiyeti, bağımlılık çözümlemesi sırasında bir aradaki saldırganın sahte Hex paket içeriklerini ikame etmesine olanak tanır. Bağımlılık çözümlemesi sırasında Gleam, paket üst verilerini imza ile doğrulanan Hex deposundan alır; bu depo her sürümün bağımlılık gereksinimlerini ve SHA-256 outer_checksum değerini kapsar. Sürümleri çözdükten sonra gleam_cli::dependencies::lookup_package, gleam_core::hex::get_package_release aracılığıyla imzasız Hex API'sine ikinci bir istek yapar ve manifest.toml dosyasına doğrulanmış depo üst verilerinden gelen değerler yerine bu JSON yanıtındaki outer_checksum ve bağımlılık adlarını kaydeder. Hex deposu imzası API yanıtını kapsamaz. Gleam süreci tarafından güvenilen bir sertifika ile TLS'i engelleyebilen (örneğin işletim sistemi güven deposundaki veya GLEAM_CACERTS_PATH aracılığıyla eklenen bir CA kullanan TLS denetleyici vekil sunucu) ve hem API sürüm yanıtını hem de ilgili depo tarball'ını değiştirebilen bir aradaki saldırgan, Hex deposu imzalama anahtarı olmadan eşleşen sahte bir sağlama toplamına sahip bir paket arşivi sunabilir. Gleam sahte tarball'ı sahte sağlama toplamına karşı doğrular, kabul eder ve bağımlılık kaynağı olarak çıkarır; bu da indirilen paket içeriklerinin bütünlüğünün kaybıyla sonuçlanır. Yalnızca Hex bağımlılıklarını çözen veya güncelleyen projeler etkilenir; bu, manifest dosyası eksik olduğunda, bir bağımlılık eklendiğinde veya güncellendiğinde ya da bağımlılık gereksinimleri değiştiğinde gerçekleşir. Değişmemiş, bilinen iyi durumdaki bir manifest.toml dosyasını yeniden kullanan derlemeler tarball'ları sabitlenmiş sağlama toplamına karşı doğrulamaya devam eder. Bu sorun gleam: 0.18.0 sürümünden itibaren 1.18.0 öncesine kadar etkiler.