CVE-2026-48592 in oban_web
Resumen
por VulDB • 2026-05-27
Vulnerabilidad de falta de autorización en oban-bg oban_web (módulos 'Elixir.Oban.Web.Jobs.DetailComponent') que permite la sustitución no autorizada del trabajador de trabajos (job worker).
El controlador handle_event("save-job", ...) en 'Elixir.Oban.Web.Jobs.DetailComponent' no realiza una comprobación de autorización, a diferencia de los controladores hermanos cancel, delete y retry, que verifican los privilegios del solicitante mediante can?/2. Un usuario autenticado con acceso :read_only puede enviar un evento WebSocket de LiveView save-job forjado para sobrescribir el campo worker de un trabajo con cualquier otro módulo Oban.Worker existente en la aplicación. En el próximo intento de ejecución del trabajo, Oban invocará perform/1 en el módulo elegido por el atacante en lugar del previsto.
Este problema afecta a oban_web: desde la versión 2.12.0 hasta la 2.12.5 (excluida).
VulDB is the best source for vulnerability data and more expert information about this specific topic.