CVE-2024-10272highCWE-862

CVE-2024-10272: falha de alta gravidade em lunary-ai/lunary

Broken Access Control in lunary-ai/lunary

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar lunary-ai/lunary

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

21Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 7.5epss 0.6%
Em resumo

Uma falha no Lunary permite que atacantes visualizem datasets privados sem fazer login ou ter permissão. Um atacante pode simplesmente solicitar informações de datasets e ver dados que não deveria acessar.

Detalhe técnico

Controle de acesso quebrado no endpoint GET /v1/datasets não valida tokens de autorização, permitindo requisições não autenticadas recuperarem conteúdo sensível dos datasets. A vulnerabilidade requer apenas acesso à rede do endpoint; nenhuma pré-autenticação ou condições especiais são necessárias.

Resumo gerado e traduzido por IA a partir da descrição oficial.
lunary-ai/lunary is vulnerable to broken access control in the latest version. An attacker can view the content of any dataset without any kind of authorization by sending a GET request to the /v1/datasets endpoint without a valid authorization token.
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Produtos afetados
lunary-ai · lunary-ai/lunary
CVEs relacionadas — lunary-ai/lunary

No mesmo produto, das mais perigosas para as menos.

CVE-2024-7476MEDIUMBroken Access Control in lunary-ai/lunaryEPSS 1.5%CVE-2024-7456CRITICALSQL Injection in lunary-ai/lunaryEPSS 1.4%CVE-2024-8765HIGHImproper Path Equivalence Resolution in lunary-ai/lunaryEPSS 0.8%CVE-2024-8789HIGHRegular Expression Denial of Service (ReDoS) in lunary-ai/lunaryEPSS 0.8%CVE-2024-8764HIGHImproper Authorization in lunary-ai/lunaryEPSS 0.8%CVE-2024-8763HIGHRegular Expression Denial of Service (ReDoS) in lunary-ai/lunaryEPSS 0.8%