PT-2025-12265
CVE-2024-9095
·
تاريخ النشر
2025-03-20
·
تاريخ التحديث
2025-03-22
الوصف من
CVSS 3.1
9.8
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
lunary-ai/lunary الإصدار v1.4.28
الوصف
تتعلق المشكلة بعدم وجود ضوابط وصول مناسبة في مسار واجهة برمجة التطبيقات (API)
/bigquery، مما يسمح لأي مستخدم مسجل الدخول بإنشاء Datastream لـ Google BigQuery وتصدير قاعدة البيانات بالكامل، بما في ذلك البيانات الحساسة مثل تجزئات كلمات المرور ومفاتيح API السرية. يتم حماية المسار بواسطة فحص الإعدادات (config.DATA WAREHOUSE EXPORTS ALLOWED)، ولكنه لا يتحقق من مستوى وصول المستخدم ولا ينفذ أي برمجيات وسيطة للتحكم في الوصول. وقد يؤدي ذلك إلى استخراج البيانات الحساسة، وتعطيل الخدمات، واختراق بيانات الاعتماد، وانتهاكات سلامة الخدمة.التوصيات
بالنسبة للإصدار v1.4.28، يُنصح بتعطيل مسار واجهة برمجة التطبيقات (API)
/bigquery حتى يتم تنفيذ ضوابط الوصول المناسبة لمنع عمليات تصدير البيانات غير المصرح بها. بالإضافة إلى ذلك، قم بتقييد الوصول إلى البيانات الحساسة، مثل تجزئات كلمات المرور ومفاتيح واجهة برمجة التطبيقات السرية، لتقليل مخاطر الاستغلال. قم بتنفيذ برمجيات وسيطة للتحكم في الوصول للتحقق من مستوى وصول المستخدم قبل السماح له بإنشاء Datastream لـ Google BigQuery. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾