CVE-2026-48593

oban-bg oban_web ('Elixir.Oban.Web.CronExpr' modulları) komponentindəki Nəzarətsiz Resurs İstehlakı zəifliyi, məhdudiyyətsiz cron diapazonunun genişləndirilməsi vasitəsilə yaddaşın tükənməsinə imkan verir. Cron tapşırıqlarını planlaşdırmaq imkanı olan hücumçu "0 0 1-100000000 * *" kimi zərərli cron ifadəsi təqdim edə bilər. Dashboard girişinə malik istifadəçi cron tapşırıqlarının siyahısına baxdıqda, ifadəni render etmək üçün 'Elixir.Oban.Web.CronExpr':describe/1 çağırılır. parse_range/1 funksiyası hər iki diapazon son nöqtəsini heç bir sərhəd yoxlaması olmadan Integer.parse/1 vasitəsilə analiz edir və aşağıdakı expand_dom_parts/1 və expand_dow_parts/1 köməkçi funksiyaları Enum.to_list/1 vasitəsilə diapazonu dərhal reallaşdıraraq təxminən 2.4 GB yaddaş ayrılmasına səbəb olur və BEAM nodunun donmasına və ya çökməsinə gətirib çıxarır. Parallel köməkçi funksiya olan extract_dom_values artıq diapazon sərhədlərini yoxlayır, lakin genişləndirmə köməkçiləri bunu etmir. Bu problem oban_web: 2.12.0 versiyasından 2.12.5 versiyasına qədər olan versiyalara təsir edir.