PT-2024-29439 · Lunary · Lunary

Publicado

2024-05-22

·

Atualizado

2024-06-07

·

CVE-2024-4153

Nenhuma

Não há classificações de severidade ou métricas disponíveis. Quando houver, atualizaremos as informações correspondentes na página.
Nome do software vulnerável e versões afetadas
lunary-ai/lunary versão 1.2.2
Descrição
Uma vulnerabilidade permite que invasores contornem os limites de criação de usuários e, potencialmente, evitem os requisitos de pagamento. O problema decorre de um comportamento indefinido ao processar entradas na API, especificamente por meio de uma solicitação POST para o endpoint “/v1/users”. Ao criar uma solicitação com o e-mail de um novo usuário e atribuir a ele a função admin, invasores podem convidar usuários adicionais além do limite definido. Isso poderia ser explorado para adicionar um número ilimitado de usuários sem respeitar as restrições pretendidas.
Recomendações
Para a versão 1.2.2, considere desativar a capacidade de atribuir a função admin a novos usuários até que uma correção esteja disponível. Restrinja o acesso ao endpoint “/v1/users” para minimizar o risco de exploração. Evite usar o parâmetro role no endpoint da API afetado até que o problema seja resolvido.
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾

Identificadores relacionados

CVE-2024-4153

Produtos afetados

Lunary