PT-2024-18409 · Lunary · Lunary

CVE-2024-1902 · Publicado 2024-04-10 · Atualizado 2025-01-10

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N

Nome do software vulnerável e versões afetadas

lunary-ai/lunary (versões afetadas não especificadas)

Descrição

A vulnerabilidade permite que um usuário removido altere o nome da organização sem a devida autorização, devido à falta de validação para verificar se o usuário ainda faz parte da organização antes de permitir que ele faça alterações. Um invasor pode explorar essa falha usando um token de autorização antigo para enviar uma “solicitação PATCH” para a “rota orgs.patch”, modificando o nome da organização mesmo após ter sido removido dela. Esse problema é causado por uma sincronização incorreta.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Enumeração de Fraquezas

CWE-821

Identificadores relacionados

CVE-2024-1902

Produtos afetados

Lunary

Referências · 9

• 🔥 https://huntr.com/bounties/e536310e-abe7-4585-9cf6-21f77390a5e8 · Exploit
• https://github.com/lunary-ai/lunary/commit/d8e2e73efd53ab4e92cf47bbf4b639a9f08853d2 · Correção
• https://t.me/cvenotify/76309 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-1902 · Nota de Segurança
• https://t.me/cvenotify/76822 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/1778130581076725882 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1778118884857401645 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-1902 · Aviso do Fabricante
• https://t.me/cvenotify/107025 · Publicação no Telegram