CVE-2024-8998

Nome do Software Vulnerável e Versões Afetadas lunary-ai/lunary versão git f07a845 lunary-ai/lunary versões anteriores à 1.4.26

Descrição Existe uma vulnerabilidade de Negação de Serviço por Expressão Regular (ReDoS) no servidor, que utiliza a regex /{.*?}/ para corresponder a strings controladas pelo usuário. No mecanismo de regex padrão do JavaScript, esta regex pode levar tempo polinomial para corresponder a determinadas entradas de usuário elaboradas. Como resultado, um atacante pode fazer o servidor travar por um período arbitrário de tempo ao enviar um payload especialmente elaborado.

Recomendações Para lunary-ai/lunary versão git f07a845, atualize para a versão 1.4.26 para resolver o problema. Para lunary-ai/lunary versões anteriores à 1.4.26, atualize para a versão 1.4.26 para resolver o problema. Como solução temporária, considere restringir o uso da regex /{.*?}/ para minimizar o risco de exploração.