CVE-2024-3501

lunary-ai/lunary, versões até e incluindo a 1.2.5

Existe uma vulnerabilidade de divulgação de informações devido à inclusão de tokens de uso único nas respostas dos endpoints de API GET /v1/users/me e GET /v1/users/me/org. Esses tokens, destinados a operações confidenciais, como redefinição de senha ou verificação de conta, ficam expostos a agentes não autorizados, permitindo que estes realizem ações em nome do usuário.

Para as versões do lunary-ai/lunary até e incluindo a 1.2.5, atualize para a versão 1.2.6 para mitigar a exposição de tokens de uso único em consultas voltadas para o usuário. Como solução alternativa temporária, considere restringir o acesso aos pontos de extremidade da API GET /v1/users/me e GET /v1/users/me/org até que a atualização seja aplicada.