PT-2025-12268 · Unknown · Lunary-Ai/Lunary

Publicado 2025-03-20 · Atualizado 2025-04-10 · CVE-2024-9099

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas lunary-ai/lunary versão v1.4.29

Descrição O endpoint da API GET "/projects" expõe chaves de API públicas e privadas de todos os projetos para usuários com permissões mínimas, como Visualizadores ou Editores de Prompt. Este problema permite que usuários não autorizados recuperem credenciais sensíveis, que podem ser usadas para realizar ações em nome do projeto, acessar dados privados e excluir recursos. As chaves de API privadas são expostas nas ferramentas do desenvolvedor quando o endpoint é chamado a partir do frontend.

Recomendações Para a versão v1.4.29, considere restringir o acesso ao endpoint da API GET "/projects" para impedir que usuários não autorizados recuperem credenciais sensíveis. Como solução temporária, restrinja o uso das ferramentas do desenvolvedor para minimizar o risco de exploração. Evite usar o endpoint da API a partir do frontend até que o problema seja resolvido.

Exploit

Correção

Enumeração de Fraquezas

CWE-1230

Identificadores relacionados

CVE-2024-9099

Produtos afetados

Lunary-Ai/Lunary

Referências · 6

• 🔥 https://huntr.com/bounties/ffb84fe8-3e60-4200-ac2d-1fd1e1c93e91 · Exploit
• https://github.com/lunary-ai/lunary/commit/8ba1b8ba2c2c30b1cec30eb5777c1fda670cbbfc · Correção
• https://osv.dev/vulnerability/CVE-2024-9099 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1902671090041946278 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-9099 · Nota de Segurança
• https://t.me/cvenotify/118667 · Publicação no Telegram