PT-2024-37376 · Lunary Ai · Lunary

CVE-2024-6086 · Publicado 2024-06-27 · Atualizado 2024-09-19

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N

Nome do software vulnerável e versões afetadas:

lunary-ai/lunary versão 1.2.7

Descrição:

A vulnerabilidade permite que qualquer usuário autenticado altere o nome de uma organização devido a um controle de acesso inadequado. Isso ocorre porque a função checkAccess() não está implementada, permitindo que usuários com privilégios limitados, como a função Prompt Editor, modifiquem os atributos da organização sem a devida autorização.

Recomendações:

Para a versão 1.2.7, considere desativar temporariamente a função checkAccess() ou restringir a modificação dos atributos da organização apenas a usuários autorizados até que uma correção adequada seja implementada. Além disso, revise e implemente mecanismos de controle de acesso adequados para impedir modificações não autorizadas.

Exploit

Correção

Improper Access Control

Incorrect Authorization

Enumeração de Fraquezas

CWE-284

CWE-863

Identificadores relacionados

CVE-2024-6086

Produtos afetados

Lunary

Referências · 4

• 🔥 https://huntr.com/bounties/9e83f63f-c5c1-422f-8010-95c353f0c643 · Exploit
• https://github.com/lunary-ai/lunary/commit/3451fcd7b9d95e9091d62c515752f39f2faa6e54 · Nota
• https://osv.dev/vulnerability/CVE-2024-6086 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-6086 · Nota de Segurança