CVE-2024-4146
Təsvir
lunary-ai/lunary versiya v1.2.13-də səlahiyyətləndirmənin yanlış tətbiqi zəifliyi mövcuddur ki, bu da icazəsiz istifadəçilərə giriş hüququna malik olmadıqları təşkilat daxilindəki layihələrə daxil olmağa və onları idarə etməyə imkan verir. Xüsusilə, zəiflik səlahiyyətləndirmə middleware-i daxilindəki `checkProjectAccess` metodunda yerləşir və burada istifadəçinin konkret layihəyə daxil olmaq üçün düzgün icazələrinin olub-olmadığı kifayət qədər yoxlanılmır. Bunun əvəzinə, sistem yalnız istifadəçinin layihəyə sahib olan təşkilatın üzvü olub-olmadığını yoxlayır və `account_project` cədvəlinə dair aşkar layihə giriş hüquqlarının lazımi yoxlamasını nəzərdən qaçırır. Bu çatışmazlıq hücumçulara layihə daxilindəki bütün resurslar üzərində tam nəzarət əldə etməyə, o cümlədən hər hansı bir resursu yaratmağa, yeniləməyə, oxumağa və silməyə imkan verir ki, bu da həssas məlumatların məxfiliyini və təhlükəsizliyini təhlükə altına salır.
Necə düzəltmək olar
- lunary1.2.26 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| lunary lunary | 1.2.13 | — |
| lunarynpm | v < 1.2.26 | 1.2.26 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.