CVE-2026-48592
Açıklama
oban-bg oban_web ('Elixir.Oban.Web.Jobs.DetailComponent' modülleri) içerisindeki Yetkilendirme Eksikliği zafiyeti, yetkisiz işleyici (job worker) değişikliğine izin vermektedir. 'Elixir.Oban.Web.Jobs.DetailComponent' içindeki handle_event("save-job", ...) işleyicisi; çağırıcının ayrıcalıklarını can?/2 aracılığıyla doğrulayan kardeş cancel, delete ve retry işleyicilerinin aksine bir yetkilendirme kontrolü gerçekleştirmemektedir. :read_only erişimine sahip kimliği doğrulanmış bir kullanıcı, sahte bir save-job LiveView WebSocket olayı göndererek bir işin worker alanını uygulamadaki herhangi bir başka mevcut Oban.Worker modülü ile değiştirebilir. İşin bir sonraki yürütme denemesinde Oban, hedeflenen modül yerine saldırgan tarafından seçilen modül üzerindeki perform/1 fonksiyonunu çağıracaktır. Bu sorun, 2.12.0 ile 2.12.5 arasındaki oban_web sürümlerini etkilemektedir.
Nasıl düzeltilir
- oban_web_project oban_web2.12.5, ab3c5d1d3eba06c62045f16f2cd7781c7752e248 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| oban_web_project oban_web | 2.12.0 ≤ v < 2.12.5, a17bc8c31286c9d516e2892cf5483d1c95e65d6c ≤ v < ab3c5d1d3eba06c62045f16f2cd7781c7752e248 | 2.12.5, ab3c5d1d3eba06c62045f16f2cd7781c7752e248 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.