PT-2026-23515 · Hexpm · Hexpm

Realcorvus · CVE-2026-21622 · Publicado 2026-03-05 · Atualizado 2026-03-07

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas hexpm versões anteriores a bb0e42091995945deef10556f58d046a52eb7884

Descrição Uma vulnerabilidade no hexpm permite o sequestro de conta devido à expiração insuficiente de sessão. Especificamente, os tokens de redefinição de senha gerados pela funcionalidade de redefinição de senha não expiram, permanecendo válidos indefinidamente. Um atacante que obtenha acesso a um e-mail vazado anteriormente contendo um token válido de redefinição de senha pode explorar isso para redefinir a senha da vítima sem precisar de acesso atual à conta de e-mail da vítima. O código vulnerável está localizado no módulo Elixir.Hexpm.Accounts.PasswordReset e na função can reset?/3.

Recomendações Atualize o hexpm para a versão bb0e42091995945deef10556f58d046a52eb7884 ou posterior.

Exploit

Correção

Insufficient Session Expiration

Enumeração de Fraquezas

CWE-613

Identificadores relacionados

CVE-2026-21622

GHSA-6R94-PVWF-MXQM

Produtos afetados

Hexpm

Referências · 11

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/21xxx/CVE-2026-21622.json · Exploit
• https://github.com/hexpm/hexpm/security/advisories/GHSA-6r94-pvwf-mxqm · Aviso do Fabricante
• https://github.com/hexpm/hexpm/commit/bb0e42091995945deef10556f58d046a52eb7884 · Correção
• https://osv.dev/vulnerability/CVE-2026-21622 · Aviso do Fabricante
• https://twitter.com/CCBalert/status/2029974870067466610 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-21622 · Nota de Segurança
• ❌ https://github.com/hexpm/hexpm.git · Nota, Deleted
• https://osv.dev/vulnerability/EEF-CVE-2026-21622 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2030385203042996667 · Publicação no Twitter
• https://cna.erlef.org/cves/CVE-2026-21622.html · Nota
• https://github.com · Nota