PT-2024-25481 · Lunary · Lunary
CVE-2024-3379
·
Publicado
2024-11-14
·
Atualizado
2024-11-18
CVSS v3.1
9.6
Crítica
| Vetor | AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:N |
Nome do software vulnerável e versões afetadas
lunary-ai/lunary, versões 1.2.2 a 1.2.6
Descrição
A vulnerabilidade permite que usuários sem privilégios regenerem a chave privada de projetos aos quais não têm acesso. Especificamente, um usuário com a função de “Membro” pode emitir uma solicitação para regenerar a chave privada de um projeto sem possuir as permissões necessárias ou estar designado a esse projeto.
Recomendações
Para as versões 1.2.2 a 1.2.6, atualize para a versão 1.2.7 para resolver o problema. Como solução alternativa temporária, considere restringir o acesso à funcionalidade de regeneração de chaves do projeto para minimizar o risco de exploração.
Exploit
Correção
Incorrect Authorization
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Lunary