Terminal escape sequence injection in Hex via unneutralized server-supplied output
CVSS Skor
2.3
EPSS İhtimal
—
Risk Skoru
0.2
Yayın
3 sa önce
Etkilenen ürün ve sürüm için yayımlanan güvenlik güncellemesini uygulayın.
Envanterimdeki Etkisi
Yalnızca hesabınıza eklediğiniz kişisel ürünler değerlendirilir; kurumsal envanter burada görünmez.
Oturum kontrol ediliyor…
Zafiyet Açıklaması
CVE AI araştırması
DayBreach AI Açıklaması
Kaynakla doğrulandıOkunan kaynak
1
Kaynak uyumu
Tam uyum
Kanıt güveni
%55
Kısa açıklama
hexpm hex paketindeki Improper Neutralization of Escape, Meta, or Control Sequences zafiyeti, kötü amaçlı bir yayıncının veya sunucunun terminal kontrol dizilerini Mix görev çıktılarına enjekte etmesine olanak tanır. Sorun, 0.0.1 sürümünden 2.5.2 öncesindeki hex sürümlerini etkilemektedir.
Kimlik doğrulama veya ayrıcalıklı bir konum gerektirmeyen bu zafiyet, saldırganların ANSI kaçış dizilerini veya Unicode iki yönlü geçersiz kılmalarını gömerek görüntülenen URL'leri ve komutları sahtelemesine, gerçek çıktıları gizlemesine ya da panoya yazmasına imkan tanır.
Ne yapılmalı?
- Satıcı danışmanlıklarını takip ederek güncellemeleri inceleyin.
- Kötü amaçlı paketlere ve güvenilmeyen depolara karşı dikkatli olun.
Kanıt zinciri ve kaynaklar
hexpm hex içindeki Improper Neutralization of Escape, Meta, or Control Sequences zafiyeti, kontrol dizilerinin Mix görev çıktılarına enjekte edilmesine izin verir.
Bu zafiyet, 0.0.1 sürümünden 2.5.2 öncesindeki hex sürümlerini etkilemektedir.
Saldırganlar kimlik doğrulama gerektirmeden ANSI kaçış dizilerini veya Unicode iki yönlü geçersiz kılmaları paket alanlarına gömebilir.
Kaynaklardaki teknik metni göster
Improper Neutralization of Escape, Meta, or Control Sequences vulnerability in hexpm hex allows a malicious package publisher or a hostile repository server to inject terminal control sequences into the output of Mix tasks. Hex prints strings supplied by the package repository and the documentation search service straight to the terminal through Hex.Shell.info/1 and Hex.Shell.error/1, neutralizing no control characters. Affected sinks span package metadata and configuration snippets in mix hex.info, search results in mix hex.package search and mix hex.search, owner and organization listings, publish and sponsor URLs, the authenticated username in mix hex.user, policy identities in mix hex.policy, and API error bodies rendered by Hex.Utils.print_error_result/1. A malicious package can embed ANSI escape sequences (cursor movement, line erase, carriage returns, OSC 52 clipboard writes) or Unicode bidirectional overrides in any of those fields, so the bytes reach the terminal unchanged, forging displayed URLs, package descriptions and suggested commands, concealing real output, or writing to the clipboard. No authentication or privileged position is required; only publishing a package. This issue affects hex: from 0.0.1 before 2.5.2.
CVSS vektörü: CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:P/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N
CWE: CWE-150
Açıklama yerel gemini-flash-lite-latest modeliyle üretildi. Sayısal metrikler, KEV, yama ve exploit durumları AI tarafından belirlenmez.
IMPACT — Etkilenen Ürünler ve Yazılımlar
RED HAT CSAF/VEX — Ürün Etki Kontrolü
SCORING — CVSS Çoklu Kaynak Skoru
CVSS Scores
The Common Vulnerability Scoring System is a standardized framework for assessing the severity of vulnerabilities in software and systems. We collect and display CVSS scores from various sources for each CVE.
| SCORE | VERSION | SEVERITY | VECTOR | SOURCE |
|---|---|---|---|---|
| 2.3 | CVSS V40 | LOW | CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:P/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X | NVD |
| 2.3 | CVSS V4_0 | LOW | CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:P/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N | CVE CNA |
Yama ve İyileştirme Rehberi (Solution)
Solution & Remediation Advisory
2 doğrulanmış yama veya düzeltilmiş sürüm kanıtı bulundu.
Public exploit ve aktif sömürü durumu
Doğrulanmış exploit istihbaratı
Bu CVE için henüz doğrulanmış public PoC, exploit repository’si veya Metasploit modülü bulunamadı.
Zafiyet Dağılımı ve Saldırı Kalıpları (CWE & CAPEC)
CWE - Common Weakness Enumeration
While CVE identifies specific instances of vulnerabilities, CWE categorizes the common flaws or weaknesses that can lead to vulnerabilities. CVE-2026-81856 is associated with the following CWEs:
Common Attack Pattern Enumeration and Classification (CAPEC)
Common Attack Pattern Enumeration and Classification (CAPEC) stores attack patterns, which are descriptions of the common attributes and approaches employed by adversaries to exploit the CVE-2026-81856 weaknesses.
Saldırı Vektörü ve Erişilebilirlik Karakteristiği
Resmi Kaynaklar ve Danışma Bültenleri
İlgili Benzer Açıklar
Path traversal in Hex via unvalidated dependency app names
Hex release-age cooldown is lifted package-wide when the locked release is retired
Hex writes unverified package tarballs to standard output in mix hex.package fetch
Hex trusts its bundled CA certificates when cacerts_path is set
hex_core's default HTTP adapter doesn't verify TLS certificates on OTP 24 and 25
hex_core decompresses registry and Erlang term API responses without size limits
Bu açığı API ile alın
Etkilenen ürünler, sürüm aralıkları, istismar durumu ve yama bilgisi tek istekte; ücretsiz anahtarla.
curl -H "x-api-key: $DAYBREACH_API_KEY" \ "https://api.enginteksut.com.tr/api/v1/intel/cves/CVE-2026-81856"