PT-2024-35968 · Lunary Ai · Lunary
CVE-2024-5389
·
Publicado
2024-06-09
·
Atualizado
2024-07-09
CVSS v3.1
8.1
Alta
| Vetor | AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N |
Nome do software vulnerável e versões afetadas:
lunary-ai/lunary versão 1.2.13
Descrição:
O problema surge porque o aplicativo não valida adequadamente a propriedade dos prompts do conjunto de dados e suas variações em relação à organização ou ao projeto do usuário solicitante. Como resultado, podem ocorrer modificações não autorizadas nos prompts do conjunto de dados, levando à alteração ou remoção desses prompts sem a devida autorização. Isso afeta a integridade e a consistência das informações do conjunto de dados, podendo comprometer os resultados dos experimentos.
Recomendações:
Para a versão 1.2.13 do lunary-ai/lunary, considere restringir o acesso aos prompts de conjuntos de dados e suas variações apenas a usuários autorizados dentro da mesma organização ou projeto até que um patch esteja disponível. Como solução alternativa temporária, desative a funcionalidade que permite aos usuários criar, atualizar, obter e excluir variações de prompts para conjuntos de dados que não pertençam à sua organização. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.
Exploit
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Lunary