CVE-2024-3502

lunary-ai/lunary, versões até e incluindo a 1.2.5

Existe uma vulnerabilidade de divulgação de informações em que os hashes de recuperação de conta dos usuários são inadvertidamente expostos a agentes não autorizados. Isso ocorre quando usuários autenticados inspecionam respostas dos endpoints “GET /v1/users/me” e “GET /v1/users/me/org”. Os hashes de recuperação de conta expostos, embora não estejam diretamente relacionados às senhas dos usuários, representam informações confidenciais que não devem ser acessíveis a terceiros não autorizados. A exposição desses hashes pode potencialmente facilitar ataques de recuperação de conta ou outras atividades maliciosas.

Para versões do lunary-ai/lunary até e incluindo a 1.2.5, atualize para a versão 1.2.6 para resolver o problema.

Como solução temporária, considere restringir o acesso aos endpoints “GET /v1/users/me” e “GET /v1/users/me/org” até que o problema seja resolvido.