CVE-2024-5386
Təsvir
lunary-ai/lunary versiya 1.2.2-də şifrə sıfırlama tokeninin sızması səbəbindən hesabın ələ keçirilməsi zəifliyi mövcuddur. 'viewer' roluna malik istifadəçi, şifrə sıfırlama tokenini əldə etməklə bu zəiflikdən digər istifadəçinin hesabını ələ keçirmək üçün istifadə edə bilər. Zəiflik, 'viewer' rolundakı istifadəçinin serverə xüsusi sorğu göndərməsi ilə tetiklənir və server 'recoveryToken' parametrində şifrə sıfırlama tokeni ilə cavab verir. Bu token daha sonra avtorizasiya olmadan digər istifadəçinin hesabının şifrəsini sıfırlamaq üçün istifadə edilə bilər. Problem həddindən artıq geniş hücum səthindən qaynaqlanır ki, bu da aşağı imtiyazlı istifadəçilərə öz imtiyazlarını yüksəltməyə və hesabları ələ keçirməyə imkan verir.
Necə düzəltmək olar
- lunary lunary1.2.14 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| lunary lunary | v < 1.2.14 | 1.2.14 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.