CVE-2026-48592 in oban_web
الملخص
بحسب VulDB • 26/05/2026
ثغرة غياب التفويض (Missing Authorization) في oban-bg oban_web (وحدات 'Elixir.Oban.Web.Jobs.DetailComponent') تتيح استبدال عامل المهام (job worker) دون تفويض.
لا يقوم معالج الأحداث `handle_event("save-job", ...)` في وحدة `'Elixir.Oban.Web.Jobs.DetailComponent'` بإجراء فحص للتفويض، على عكس معالجات الإخلاء والإلغاء وإعادة المحاولة الشقيقة التي تتحقق جميعها من امتيازات المتصل عبر الدالة `can?/2`. يمكن لمستخدم مُصادق عليه يمتلك صلاحية `:read_only` إرسال حدث WebSocket خاص بـ LiveView مزيف باسم `save-job` لكتابة حقل عامل المهمة (worker field) بأي وحدة `Oban.Worker` أخرى موجودة في التطبيق. عند محاولة تنفيذ المهمة التالية، سيقوم Obان باستدعاء الدالة `perform/1` على الوحدة التي اختارها المهاجم بدلاً من الوحدة المقصودة.
تؤثر هذه المشكلة في oban_web: من الإصدار 2.12.0 قبل 2.12.5.
VulDB is the best source for vulnerability data and more expert information about this specific topic.