Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - hexpm hex 中的高度压缩数据处理不当（数据放大）漏洞允许不受信任的程序包镜像耗尽运行 mix deps.get、mix deps.update、mix hex.package 获取或 mix hex.docs 获取的计算机的内存或磁盘空间。Hex 将以 HEX_MIRROR_URL、HEX_MIRROR 或 mirror_url 配置的镜像视为不受信任：它不向其发送凭据，它会检查镜像无法伪造的注册表签名和程序包校验和。多个响应路径消耗内存或磁盘的数量与镜像在运行任何这些检查之前发送的内容成正比。Hex.HTTP.request/5 会将整个响应正文读入内存，并在响应的内容编码中包含 gzip 时使用 ：zlib.gunzip/1 对其进行解压缩，对压缩或解压缩的大小没有限制。Hex 不要求压缩响应，因此服务器决定是否运行此步骤。它适用于注册表、程序包、文档和 API 响应。程序包 tarball 没有下载大小限制。Hex 2.5.1 将整个 tarball 保存在内存中并将其写入缓存，开发分支将其流式传输到临时文件;仅当解包文件时才检查 16 MiB tarball 限制。然后将 tarball 解压缩到 deps/<app> 中 2.5.1 ，然后放入开发分支上的暂存目录中，然后将其校验和与注册表进行比较。 混合 hex.docs 提取，并在缺少 docs 时离线混合 hex.docs，将 docs tarball 写入磁盘并使用 ：mix_hex_erl_tar.extract/2 提取，而没有 16 MiB 压缩和 128 MiB 解压缩限制，这些限制mix_hex_tarball：unpack_docs/3 适用。已签名的注册表不涵盖 docs tarball，因此没有任何内容对其进行检查。注册表响应在检查签名之前也会解压缩，采用 Hex 供应商hex_core代码;该部分在 https://github.com/hexpm/hex_core/security/advisories/GHSA-7c4r-cgf9-9jmq中进行跟踪。此问题影响之前2.5.2的 0.11.2 hex：（CVE-2026-96618）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

检测

Linux Distros 未修补的漏洞：CVE-2026-96618

low Nessus 插件 ID 366675

版本 1.2