CVE-2026-32148
Qu'est-ce que CVE-2026-32148 ?
La vulnérabilité de vérification insuffisante de l’authenticité des données dans hexpm hex (module Hex.RemoteConverger) permet de contourner l’intégrité des dépendances via des sommes de contrôle de fichier de verrouillage non vérifiées. Hex stocke les sommes de contrôle des dépendances dans le fichier mix.lock pour garantir des builds reproductibles et dont l'intégrité est vérifiée. Cependant, Hex.RemoteConverger.verify_resolved/2 n'exécute jamais la vérification de la somme de contrôle, car les données de verrouillage renvoyées par Hex.Utils.lock/1 utilisent des noms de dépendance basés sur des chaînes, tandis que la logique de vérification se compare aux noms basés sur des atomes. Cette incompatibilité de type entraîne l’omission silencieuse du chemin du code de vérification. Ch.
FAQ
CVE-2026-32148 a un score CVSS de N/D/10, évalué comme Inconnu. Consultez la liste des produits affectés et appliquez les correctifs du fournisseur.
Le CVSS (Common Vulnerability Scoring System) évalue la gravité des vulnérabilités de 0,0 à 10,0. CVE-2026-32148 obtient N/D/10 (Inconnu). Les scores de 9,0–10,0 sont Critiques, 7,0–8,9 Élevés, 4,0–6,9 Moyens et inférieurs à 4,0 Faibles.
La liste des appareils confirmés comme étant affectés par CVE-2026-32148 est indiquée dans la section "Appareils affectés" ci-dessus. Comparez votre version de firmware avec l'avis de sécurité du fournisseur et appliquez le dernier correctif.
Appliquez la dernière mise à jour du firmware ou du logiciel du fournisseur. Consultez la section Références ci-dessus pour les avis officiels et les notes de correctif. Si aucun correctif n'est disponible, envisagez de désactiver la fonctionnalité affectée ou d'isoler l'appareil des réseaux non fiables.