JVNDB-2026-007738

Six ColorsのHexpmにおけるセッション期限に関する脆弱性

hexpmのhexpm/hexpm（'Elixir.Hexpm.Accounts.PasswordReset'モジュール）におけるセッションの期限切れが不十分である脆弱性により、アカウントの乗っ取りが可能になります。パスワードリセットの過程で生成されるリセットトークンは期限切れになりません。ユーザーがパスワードリセットを要求すると、Hexはトークンを含むリセットリンクが記載されたメールを送信します。このトークンは使用されるまで無期限で有効です。時間に基づく有効期限は適用されていません。ユーザーの過去のメールがデータ流出（例：漏洩したメールボックスアーカイブ）で公開された場合、そのデータセット内にある未使用のパスワードリセットメールを攻撃者が利用して被害者のパスワードをリセットする可能性があります。攻撃者は被害者のメールアカウントへの現在のアクセス権を必要とせず、以前に漏洩したリセットメールのコピーへのアクセスだけで十分です。この脆弱性はプログラムファイルlib/hexpm/accounts/password_reset.exおよびプログラムルーチン'Elixir.Hexpm.Accounts.PasswordReset':can_reset?/3に関連しています。この問題は617e44c71f1dd9043870205f371d375c5c4d886dからbb0e42091995945deef10556f58d046a52eb7884の前までのhexpmに影響を与えます。

Six Colors

• Hexpm 2026-03-05 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Password Reset Tokens Do Not Expire  Advisory  hexpm/hexpm  GitHub

1. 不適切なセッション期限(CWE-613) [その他]

1. CVE-2026-21622

1. National Vulnerability Database (NVD) : CVE-2026-21622
2. 関連文書 : Merge commit from fork  hexpm/hexpm@bb0e420  GitHub

• [2026年03月19日]
    掲載