CVE-2024-2035

zenml-io/zenml versão 0.55.3

Existe uma falha de autorização no repositório zenml-io/zenml, especificamente no endpoint da API “PUT /api/v1/users/id”. Essa vulnerabilidade permite que qualquer usuário autenticado modifique as informações de outros usuários, incluindo a alteração do status active das contas de usuário para false, desativando-as efetivamente. O impacto dessa vulnerabilidade é significativo, pois permite a desativação de contas de administrador, o que pode comprometer a funcionalidade e a segurança do aplicativo.

Para a versão 0.55.3, atualize para a versão 0.56.2 para resolver o problema. Como solução temporária, considere restringir o acesso ao endpoint “PUT /api/v1/users/id” para impedir modificações não autorizadas nas contas de usuário. Além disso, restrinja a capacidade de alterar o status active das contas de usuário apenas ao pessoal autorizado.