CVE-2024-1626

lunary-ai/lunary versão 0.3.0

Existe uma vulnerabilidade do tipo Referência Direta a Objetos (IDOR) no endpoint de atualização de projetos, permitindo que usuários autenticados modifiquem o nome de qualquer projeto no sistema sem as devidas verificações de autorização. Isso é feito por meio da referência direta ao ID do projeto na solicitação PATCH para o endpoint “/v1/projects/:projectId”. O problema ocorre porque o endpoint não verifica se o ID do projeto fornecido pertence ao usuário atualmente autenticado, permitindo modificações não autorizadas em diferentes projetos da organização.

Para a versão 0.3.0, como solução temporária, considere restringir o acesso ao endpoint “/v1/projects/:projectId” até que uma correção esteja disponível. Além disso, restrinja o uso da variável :projectId no endpoint afetado para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.