CVE-2026-78228

ash-project ash_oban bileşenindeki Kontrolsüz Özyineleme zafiyeti, bir tetikleyicinin on_error eylemini yönlendirebilen bir kullanıcının, son denemede başarısız olarak işçi CPU ve belleğini tüketmesine ve hizmet reddine yol açmasına izin verir. Oluşturulan işçinin atomik handle_error/4 fonksiyonu, bir işin son denemesinde tetikleyicinin on_error eylemini bir rescue bloğu içinde çalıştırır; eylem hata verdiğinde, aynı iş ile handle_error/4 tekrar çağrılır. İşin deneme sayısı hala max_attempts değerine eşit olduğundan, aynı maddeye yeniden girilir ve başarısız olan eylem çıkış yolu olmaksızın tekrar çalıştırılır. Herhangi bir deterministik on_error hatası (veri katmanı kesintisi, yanlış yapılandırılmış bir eylem veya eylemin reddettiği bir kayıt) sonsuz döngüye girer; özyinelemeli çağrı kuyruk konumunda (tail position) olmadığı için her yineleme biçimlendirilmiş bir yığın izini tutar ve çalışma zamanı işçiyi öldürene kadar hatalı ifade veri katmanına karşı yeniden gönderilirken işlem yığını sınırsız şekilde büyür. Bu sorun ash_oban'ın 0.8.0-rc.1 sürümünden 0.8.14 öncesine kadar olan sürümlerini etkilemektedir.