PT-2025-12033 · Lunary · Lunary

CVE-2024-10272 · Publicado 2025-03-20 · Atualizado 2025-06-20

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas lunary-ai/lunary versão mais recente

Descrição A vulnerabilidade permite que um atacante visualize o conteúdo de qualquer conjunto de dados sem autorização, ao enviar uma solicitação GET para o endpoint "/v1/datasets" sem um token de autorização válido.

Recomendações Para a versão mais recente, considere restringir o acesso ao endpoint "/v1/datasets" até que um patch esteja disponível. Como solução temporária, garanta que todas as solicitações para este endpoint incluam um token de autorização válido para minimizar o risco de exploração.

Exploit

Correção

Improper Access Control

Missing Authorization

Enumeração de Fraquezas

CWE-284

CWE-862

Identificadores relacionados

CVE-2024-10272

Produtos afetados

Lunary

Referências · 6

• 🔥 https://huntr.com/bounties/3de48a54-b5c9-40a1-b794-d59c36d58fb6 · Exploit
• https://github.com/lunary-ai/lunary/commit/35dd4af0001a54ccb14276a1546eb977f82c0c5e · Correção
• https://t.me/cvenotify/126262 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-10272 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2024-10272 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1902671024782815340 · Publicação no Twitter