CVE-2024-5277

lunary-ai/lunary versão 1.2.4

Existe uma vulnerabilidade no mecanismo de recuperação de senha do lunary-ai/lunary, na qual o token de redefinição de senha não é invalidado após o uso. Isso permite que um invasor que obtenha o token de recuperação altere repetidamente a senha da conta da vítima. O problema reside no tratamento do processo de redefinição de senha pelo backend, onde o token, uma vez usado, não é descartado ou invalidado, permitindo sua reutilização. Isso pode levar ao acesso não autorizado à conta se um invasor obtiver o token de recuperação.

Para a versão 1.2.4 do lunary-ai/lunary, considere desativar o mecanismo de recuperação de senha até que um patch esteja disponível para impedir a reutilização de tokens de redefinição de senha. Restrinja o acesso ao processo de recuperação de senha para minimizar o risco de exploração. Evite usar o recurso de recuperação de senha até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.