Към съдържанието
Търсене

CVE-2026-48592: oban-bg oban_web, заобикаляне на вход и права

5.3

CVSS 4.0

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, с обикновен потребителски вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: няма данни за експлоатация
  • Атаката не може да се автоматизира

Описание

Оригинално описание

Missing Authorization vulnerability in oban-bg oban_web ('Elixir.Oban.Web.Jobs.DetailComponent' modules) allows unauthorized job worker substitution. The handle_event("save-job", ...) handler in 'Elixir.Oban.Web.Jobs.DetailComponent' does not perform an authorization check, unlike the sibling cancel, delete, and retry handlers which all verify the caller's privileges via can?/2. An authenticated user with :read_only access can push a forged save-job LiveView WebSocket event to overwrite a job's worker field with any other existing Oban.Worker module in the application. On the job's next execution attempt, Oban will invoke perform/1 on the attacker-chosen module instead of the intended one. This issue affects oban_web: from 2.12.0 before 2.12.5.

Засегнати продукти

  • oban-bg oban_web: 2.12.0 преди 2.12.5
  • oban-bg oban_web: a17bc8c31286c9d516e2892cf5483d1c95e65d6c преди ab3c5d1d3eba06c62045f16f2cd7781c7752e248

Вид слабост

История

  • 26 май 2026 Публикувано

Други уязвимости в oban-bg oban_web

Първоизточници

CVE-2026-48592: oban-bg oban_web, заобикаляне на вход и права | freedomonline.bg