PT-2026-43407
CVE-2026-48592
·
تاريخ النشر
2026-05-26
·
تاريخ التحديث
2026-06-30
الوصف من
CVSS 4.0
5.3
متوسطةالمقاييسAV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات oban web من 2.12.0 إلى 2.12.4
الوصف
تسمح مشكلة نقص في التفويض في الوحدة النمطية
Elixir.Oban.Web.Jobs.DetailComponent باستبدال عامل المهام دون إذن. يفشل معالج handle event(”save-job“, ...) في إجراء فحوصات التفويض، في حين أن المعالجات الأخرى مثل cancel و delete و retry تتحقق من الامتيازات باستخدام can?/2. يمكن للمستخدم المصادق عليه الذي يتمتع بحق الوصول :read only إرسال حدث WebSocket مزور من نوع save-job عبر LiveView لتجاوز حقل عامل المهمة واستبداله بأي وحدة Oban.Worker أخرى موجودة في التطبيق. ونتيجة لذلك، أثناء محاولة التنفيذ التالية، سيستدعي Oban الدالة perform/1 على الوحدة النمطية التي اختارها المهاجم بدلاً من الوحدة المقصودة. يحدث هذا عند نشر لوحة تحكم Oban.Web وإتاحتها للمستخدمين الذين يتمتعون بامتيازات محدودة لإدارة المهام.التوصيات
التحديث إلى الإصدار 2.12.5.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾