PT-2024-34599 · Lunary Ai · Lunary

CVE-2024-5133

·

Publicado

2024-06-06

·

Atualizado

2024-10-17

CVSS v3.1

9.1

Crítica

VetorAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
Nome do software vulnerável e versões afetadas
lunary-ai/lunary versão 1.2.4
Descrição
Existe uma vulnerabilidade de apropriação de conta devido à exposição de tokens de recuperação de senha nas respostas da API. Quando um usuário inicia o processo de redefinição de senha, o token de recuperação é incluído na resposta do endpoint “GET /v1/users/me/org”, que lista todos os usuários de uma equipe. Isso permite que qualquer usuário autenticado capture o token de recuperação de outro usuário e, posteriormente, altere a senha desse usuário sem consentimento, efetivamente assumindo o controle da conta. A vulnerabilidade reside na inclusão do atributo recovery token no objeto users retornado pela API.
Recomendações
Para a versão 1.2.4 do lunary-ai/lunary, como solução temporária, considere desativar o endpoint GET /v1/users/me/org até que um patch esteja disponível. Restrinja o acesso ao atributo recovery token no objeto users retornado pela API para minimizar o risco de exploração. Evite usar o atributo recovery token no endpoint da API afetado até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Information Disclosure

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾

Enumeração de Fraquezas

Identificadores relacionados

CVE-2024-5133

Produtos afetados

Lunary