CVE-2024-6087

Nome do software vulnerável e versões afetadas:

lunary-ai/lunary versões anteriores ao commit 844e8855c7a713dc7371766dba4125de4007b1cf

Descrição:

Existe uma falha de controle de acesso inadequado, permitindo que invasores utilizem tokens de autenticação da funcionalidade “convidar usuário” para obter tokens JWT válidos. Esses tokens podem ser usados para comprometer usuários-alvo ao se cadastrarem em organizações de sua própria escolha. O invasor pode convidar um e-mail-alvo, obter um token de uso único, cancelar o convite e, posteriormente, usar o token para redefinir a senha do usuário-alvo, levando à apropriação total da conta.

Recomendações:

Para versões anteriores ao commit 844e8855c7a713dc7371766dba4125de4007b1cf, atualize para uma versão que inclua a correção para este problema. Como solução temporária, considere restringir o uso da funcionalidade “convidar usuário” até que um patch esteja disponível. Evite usar os tokens de autenticação emitidos por essa funcionalidade para minimizar o risco de exploração.