PT-2025-12268
CVE-2024-9099
·
تاريخ النشر
2025-03-20
·
تاريخ التحديث
2025-04-10
الوصف من
CVSS 3.1
8.8
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
lunary-ai/lunary الإصدار v1.4.29
الوصف
تُكشف نقطة نهاية واجهة برمجة التطبيقات (API) GET ”/projects“ عن مفاتيح API العامة والخاصة لجميع المشاريع للمستخدمين الذين يتمتعون بأذونات دنيا، مثل «المشاهدين» أو «محرري المطالبات». تسمح هذه المشكلة للمستخدمين غير المصرح لهم باسترداد بيانات اعتماد حساسة، والتي يمكن استخدامها للقيام بإجراءات نيابة عن المشروع، والوصول إلى البيانات الخاصة، وحذف الموارد. يتم الكشف عن مفاتيح API الخاصة في أدوات المطور عند استدعاء نقطة النهاية من الواجهة الأمامية.
التوصيات
بالنسبة للإصدار v1.4.29، يُنصح بتقييد الوصول إلى نقطة نهاية واجهة برمجة التطبيقات (API) GET ”/projects“ لمنع المستخدمين غير المصرح لهم من استرداد بيانات الاعتماد الحساسة. كحل مؤقت، قم بتقييد استخدام
أدوات المطور لتقليل مخاطر الاستغلال. تجنب استخدام نقطة نهاية واجهة برمجة التطبيقات (API) من الواجهة الأمامية حتى يتم حل المشكلة. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾