CVE-2024-1666

lunary-ai/lunary versão 1.0.0

A vulnerabilidade está relacionada a uma falha de autorização que permite a criação não autorizada de radares. Essa falha decorre da ausência de verificações no lado do servidor para confirmar se um usuário possui uma conta gratuita durante o processo de criação de radares, verificação essa que é aplicada apenas na interface do usuário da web. Como resultado, invasores podem contornar a exigência de upgrade de conta, enviando diretamente solicitações maliciosas ao servidor, o que permite a criação de um número ilimitado de radares sem pagamento.

Para a versão 1.0.0 do lunary-ai/lunary, considere desativar o recurso de criação de radares até que um patch esteja disponível para impedir a criação não autorizada de radares. Restrinja o acesso à API de criação de radares no lado do servidor para minimizar o risco de exploração. Evite usar o processo de criação de radares diretamente; em vez disso, use a interface do usuário da web, que aplica verificações de conta. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.