CVE-2026-48593

oban-bg oban_web ('Elixir.Oban.Web.CronExpr' modülleri) içerisindeki Kontrolsüz Kaynak Tüketimi zafiyeti, sınırsız cron aralık genişletmesi yoluyla bellek tükenmesine izin verir. Cron işlerini planlama yetkisine sahip bir saldırgan, "0 0 1-100000000 * *" gibi kötü niyetli bir cron ifadesi gönderebilir. Dashboard erişimine sahip bir kullanıcı cron işleri listesini görüntülediğinde, ifadeyi oluşturmak için 'Elixir.Oban.Web.CronExpr':describe/1 çağrılır. parse_range/1 fonksiyonu, her iki aralık uç noktasını herhangi bir sınır kontrolü yapmadan Integer.parse/1 aracılığıyla ayrıştırır ve ardından gelen expand_dom_parts/1 ile expand_dow_parts/1 yardımcı fonksiyonları, aralığı Enum.to_list/1 üzerinden aceleci (eagerly) olarak gerçekleştirerek yaklaşık 2,4 GB tahsis edilmesine neden olur ve BEAM düğümünün donmasına veya çökmesine yol açar. Benzer bir yardımcı fonksiyon olan extract_dom_values halihazırda aralık sınırlarını doğrulamaktadır ancak genişletme yardımcı fonksiyonları bunu yapmamaktadır. Bu sorun, 2.12.0 ile 2.12.5 arasındaki oban_web sürümlerini etkilemektedir.