CVE-2025-5352

Nome do Software Vulnerável e Versões Afetadas: lunary-ai/lunary versões até a 1.9.23

Descrição: Uma vulnerabilidade crítica de Cross-Site Scripting (XSS) armazenado existe no componente de Analytics. A variável de ambiente NEXT PUBLIC CUSTOM SCRIPT é injetada diretamente no DOM usando dangerouslySetInnerHTML sem sanitização ou validação. Isso permite a execução arbitrária de JavaScript nos navegadores de todos os usuários se um invasor puder controlar a variável de ambiente durante a implantação ou através do comprometimento do servidor. A vulnerabilidade pode levar à tomada completa de conta, exfiltração de dados, distribuição de malware e ataques persistentes afetando todos os usuários até que a variável de ambiente seja limpa.

Recomendações: lunary-ai/lunary versões anteriores à 1.9.25: Atualize para a versão 1.9.25 ou posterior para corrigir o problema.