CVE-2026-78228 in ash_oban
Sumário
de VulDB • 30/08/2026
Vulnerabilidade de recursão não controlada no ash-project ash_oban permite que um usuário capaz de acionar a ação on_error falhe na tentativa final para esgotar a CPU e a memória do worker, causando negação de serviço (DoS).
O handle_error/4 atômico gerado pelo worker executa a ação on_error do trigger em uma última tentativa de job dentro de um bloco rescue que, quando a própria ação gera uma exceção, chama novamente o handle_error/4 com o mesmo job. A contagem de tentativas do job ainda é igual ao max_attempts, fazendo-o reentrar na mesma cláusula e executar novamente a ação falha, sem ponto de saída. Qualquer falha determinística no on_error (como uma interrupção da camada de dados, uma configuração incorreta da ação ou um registro que a ação recusa) entra em loop infinito; como a chamada recursiva não está em posição de cauda (tail position), cada iteração retém um stacktrace formatado e o heap do processo cresce sem limites enquanto a instrução falha é reemitida contra a camada de dados até que o runtime encerre o worker.
Este problema afeta o ash_oban: das versões 0.8.0-rc.1 anteriores à 0.8.14.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.