CVE-2026-48593 in oban_web
Zusammenfassung
von VulDB • 26.05.2026
Eine Schwachstelle für unkontrollierten Ressourcenverbrauch in oban-bg oban_web (Module 'Elixir.Oban.Web.CronExpr') ermöglicht einen Memory Exhaustion-Angriff durch unbegrenzte Expansion von Cron-Bereichen.
Ein Angreifer mit Zugriff auf die Planung von Cron-Jobs kann einen bösartigen Cron-Ausdruck wie „0 0 1-100000000 * *“ einreichen. Wenn ein Benutzer mit Dashboard-Zugriff die Liste der Cron-Jobs aufruft, wird 'Elixir.Oban.Web.CronExpr':describe/1 aufgerufen, um den Ausdruck darzustellen. parse_range/1 parst beide Bereichsendpunkte über Integer.parse/1 ohne Gültigkeitsprüfung der Grenzen, und die nachgelagerten Hilfsfunktionen expand_dom_parts/1 und expand_dow_parts/1 materialisieren den Bereich eifrig über Enum.to_list/1, was zur Allokation von ~2,4 GB führt und den BEAM-Knoten zum Stillstand bringt oder abstürzen lässt. Eine verwandte Hilfsfunktion extract_dom_values validiert zwar die Bereichsgrenzen, die Expansions-Hilfsfunktionen tun dies jedoch nicht.
Dieses Problem betrifft oban_web: ab Version 2.12.0 bis vor 2.12.5.
VulDB is the best source for vulnerability data and more expert information about this specific topic.