目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

目标: 1000 元 · 已筹: 1359 元

100%
请我们喝杯咖啡

CVE-2026-96612— Hex 通过未验证的依赖应用名实现路径遍历漏洞

一分钟漏洞结论

影响对象
hexpm hex
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。

hexpm hex 存在“对限制目录的路径名限制不当（路径遍历）”漏洞，允许恶意软件包发布者在开发者拉取依赖项时，删除项目 deps 目录外的任意目录，并将软件包文件解压至该目录中。 软件包版本元数据中包含一个标识依赖 OTP 应用程序名称的 标签。Hex 从仓库的签名注册表中获取该标签，并直接将其用作依赖项的应用程序名称，而未对其进行任何验证（见 和 ）。Mix 会将依赖项的检出目录路径构建为 ，而 会在该路径上调用 （递归强制删除目录）并将软件包内容解压至此目录。hex.pm 仅对 标签的长度进行校验，因此发布

CVSS 7.5 · High EPSS 0.40% · P33

影响版本矩阵 2

厂商产品 版本范围状态
hexpm hex 0.6.0< 2.5.2 affected
380f87054e1bc08ee13d2b5311bc01f98dad2fc6< * affected
获取后续新漏洞提醒 登录后订阅

一、 漏洞 CVE-2026-96612 基础信息

漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗

尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。

Vulnerability Title
Path traversal in Hex via unvalidated dependency app names
来源: CVE Program / CVE List V5
Vulnerability Description
Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') vulnerability in hexpm hex allows a malicious package publisher to delete a directory outside the project's deps directory and extract package files into it when a developer fetches dependencies. A package release's requirements carry an app label that names the dependency's OTP application. Hex takes this label from the repository's signed registry and uses it as the dependency's application name without validating it (Hex.RemoteConverger.deps/2, Hex.Mix.to_lock/1). Mix derives the dependency's checkout directory as deps/<app>, and Hex.SCM.update/1 runs File.rm_rf!/1 on that directory and unpacks the package into it. hex.pm only checks the label's length, so a publisher can set it to a value such as ../../target. When a project depends on such a release directly or transitively, mix deps.get or mix deps.update deletes the directory the label resolves to and writes the labelled package's files there. This happens before any dependency code is compiled. This issue affects hex: from 0.6.0 before 2.5.2.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:A/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
来源: CVE Program / CVE List V5
Vulnerability Type
对路径名的限制不恰当(路径遍历)
来源: CVE Program / CVE List V5

受影响产品

厂商 产品 影响版本 CPE 订阅
hexpm hex 0.6.0 ~ 2.5.2 cpe:2.3:a:hexpm:hex:*:*:*:*:*:*:*:*
hexpm hex 380f87054e1bc08ee13d2b5311bc01f98dad2fc6 ~ * cpe:2.3:a:hexpm:hex:*:*:*:*:*:*:*:*

二、漏洞 CVE-2026-96612 的公开POC

# POC 描述 源链接 神龙链接
AI 生成 POC 高级

未找到公开 POC。

登录以生成 AI POC

三、漏洞 CVE-2026-96612 的情报信息

请登录查看更多情报信息。

CVE-2026-96612 补丁与修复 (2)

CVE-2026-96612 厂商安全公告 (3)

同批安全公告 · hexpm · 2026-10-12 · 共 7 条

CVE-2026-105668 7.1 HIGH Hex 发布年龄冷却包级提升漏洞
CVE-2026-105280 6.9 MEDIUM Hex mix hex.package fetch 未验证包输出漏洞
CVE-2026-103502 5.9 MEDIUM hex_core默认HTTP适配器未验证TLS证书（OTP 24/25）
CVE-2026-103503 5.9 MEDIUM Hex cacerts_path 配置信任捆绑CA证书漏洞
CVE-2026-81856 2.3 LOW Hex 终端转义序列注入漏洞
CVE-2026-96618 2.1 LOW Hex内存与磁盘耗尽漏洞（过大或压缩响应）

IV. Related Vulnerabilities

Same product: hex
Same vendor: hexpm
Same weakness: CWE-22

V. Comments for CVE-2026-96612

暂无评论

发表评论