PT-2024-29440 · Lunary Ai · Lunary

Publicado 2024-05-21 · Atualizado 2025-01-31 · CVE-2024-4154

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.1

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:H/A:N

Nome do software vulnerável e versões afetadas

lunary-ai/lunary versão 1.2.2

Descrição

A vulnerabilidade permite que usuários sem privilégios renomeiem projetos aos quais não têm acesso, enviando uma solicitação PATCH para o endpoint do projeto com um novo nome, mesmo sem possuir as permissões necessárias ou estar designado ao projeto. Isso pode levar à modificação não autorizada de nomes de projetos, causando potencialmente confusão ou acesso não autorizado aos recursos do projeto.

Recomendações

Para a versão 1.2.2 do lunary-ai/lunary, considere restringir o acesso ao endpoint do projeto para impedir a renomeação não autorizada de projetos até que uma correção esteja disponível. Como solução alternativa temporária, limite a capacidade de usuários sem privilégios de enviar solicitações PATCH para endpoints de projetos.

Exploit

Correção

IDOR

Enumeração de Fraquezas

CWE-821

CWE-639

Identificadores relacionados

CVE-2024-4154

Produtos afetados

Lunary

Referências · 8

• 🔥 https://huntr.com/bounties/e56509af-f7af-4e1e-a04b-9cb53545f30f · Exploit
• https://github.com/lunary-ai/lunary/commit/c43b6c62035f32ca455f66d5fd22ba661648cde7 · Nota
• https://t.me/cvenotify/80679 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2024-4154 · Aviso do Fabricante
• https://t.me/cvenotify/80606 · Publicação no Telegram
• https://t.me/cvenotify/107040 · Publicação no Telegram
• https://t.me/cvenotify/109386 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-4154 · Nota de Segurança