CVE-2024-11137

Nome do Software Vulnerável e Versões Afetadas lunary-ai/lunary versão 1.6.0

Descrição Uma vulnerabilidade de Referência Direta a Objeto Inseguro (IDOR) existe no endpoint "PATCH /v1/runs/:id/score". Este problema permite que um atacante atualize os dados de pontuação de qualquer execução manipulando o parâmetro id na URL da requisição, o qual corresponde ao runId score no banco de dados. O endpoint não valida suficientemente se o usuário autenticado possui permissão para modificar o runId especificado, permitindo que um atacante com uma conta válida modifique as pontuações de runId de outros usuários especificando diferentes valores de id.

Recomendações Para lunary-ai/lunary versão 1.6.0, atualize para a versão 1.6.1 para resolver o problema. Como medida temporária, considere restringir o acesso ao endpoint "PATCH /v1/runs/:id/score" para prevenir modificações não autorizadas. Evite usar o parâmetro id no endpoint afetado até que o problema seja resolvido.