CVE-2024-1625

lunary-ai/lunary versão 0.3.0

Existe uma vulnerabilidade do tipo Referência Direta a Objetos Insegura (IDOR), que permite a exclusão não autorizada de qualquer projeto da organização. O problema se deve a verificações de autorização insuficientes no endpoint de exclusão de projetos, onde o endpoint não verifica se o ID do projeto fornecido na solicitação pertence à organização do usuário solicitante. Como resultado, um invasor pode excluir projetos pertencentes a qualquer organização enviando uma solicitação DELETE maliciosa com o ID do projeto alvo. Este problema afeta a funcionalidade de exclusão de projetos implementada na rota “projects.delete”.

Para a versão 0.3.0, considere desativar a funcionalidade de exclusão de projetos na rota “projects.delete” até que um patch esteja disponível. Restrinja o acesso ao endpoint de exclusão de projetos para minimizar o risco de exploração. Evite usar o ID do projeto no endpoint afetado até que o problema seja resolvido.