CVE-2026-48592
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 40 - wyżej niż 40% wszystkich znanych CVE
Streszczenie
W oban_web (komponent Elixir.Oban.Web.Jobs.DetailComponent) brakuje autoryzacji w handlerze handle_event("save-job", ...), co pozwala uwierzytelnionemu użytkownikowi z dostępem tylko do odczytu na podmianę pola worker zadania na dowolny moduł Oban.Worker. Inne handlery (cancel, delete, retry) sprawdzają uprawnienia, ale save-job tego nie robi.
Ocena ryzyka
Uwierzytelniony atakujący z niskimi uprawnieniami może podmienić moduł wykonawczy zadania, co może prowadzić do wykonania nieautoryzowanego kodu lub eskalacji uprawnień.
Rekomendacja
Należy zaktualizować oban_web do wersji 2.12.5 lub nowszej, która zawiera poprawkę dodającą sprawdzanie autoryzacji.
Inne podatności w oban_web
Oryginalny opis (angielski, źródło NVD)
Missing Authorization vulnerability in oban-bg oban_web ('Elixir.Oban.Web.Jobs.DetailComponent' modules) allows unauthorized job worker substitution. The handle_event("save-job", ...) handler in 'Elixir.Oban.Web.Jobs.DetailComponent' does not perform an authorization check, unlike the sibling cancel, delete, and retry handlers which all verify the caller's privileges via can?/2. An authenticated user with :read_only access can push a forged save-job LiveView WebSocket event to overwrite a job's worker field with any other existing Oban.Worker module in the application. On the job's next execution attempt, Oban will invoke perform/1 on the attacker-chosen module instead of the intended one. This issue affects oban_web: from 2.12.0 before 2.12.5.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS