PT-2024-18263 · Unknown · Lunary-Ai/Lunary

Publicado 2024-04-15 · Atualizado 2025-01-10 · CVE-2024-1738

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

lunary-ai/lunary (versões afetadas não especificadas)

Descrição

Existe uma falha de autorização no repositório lunary-ai/lunary, especificamente na rota evaluations.get do endpoint da API de avaliações “/api/evaluations”. Essa falha permite que usuários não autorizados recuperem os resultados da avaliação de qualquer organização simplesmente conhecendo o ID da avaliação, devido à falta de verificação do ID do projeto na consulta SQL. Como resultado, invasores podem obter acesso a dados potencialmente privados contidos nos resultados da avaliação.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Incorrect Authorization

Enumeração de Fraquezas

CWE-863

Identificadores relacionados

CVE-2024-1738

Produtos afetados

Lunary-Ai/Lunary

Referências · 8

• 🔥 https://huntr.com/bounties/f68ef361-7a5d-4272-9c2f-414baf074309 · Exploit
• https://github.com/lunary-ai/lunary/commit/a4e61122e61dc31460cfbe54d15fae389cc440ce · Correção
• https://t.me/cvenotify/107028 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/1780116333746696429 · Publicação no Twitter
• https://t.me/cvenotify/79853 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1780039214719201724 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-1738 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-1738 · Nota de Segurança