CVE-2024-5127

lunary-ai/lunary, versões 1.2.2 a 1.2.25

O problema surge devido à validação insuficiente no backend de funções e permissões, permitindo que usuários não autorizados participem de um projeto e potencialmente explorem funções e permissões não destinadas ao seu uso. Isso afeta especificamente o recurso Team, onde o backend não valida se um usuário pagou por um plano antes de permitir que ele envie links de convite com qualquer função atribuída. Isso pode levar ao acesso não autorizado e à manipulação das configurações ou dos dados do projeto.

Para as versões 1.2.2 a 1.2.25, como solução temporária, considere desativar o recurso Equipe até que uma correção esteja disponível. Restrinja o acesso ao recurso Equipe para minimizar o risco de exploração. Evite usar o recurso de atribuição de funções no recurso Equipe até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.