CVE-2024-9095
Təsvir
lunary-ai/lunary versiya v1.4.28-də `/bigquery` API marşrutunda lazımi giriş nəzarətinin olmaması, hər hansı daxil olmuş istifadəçiyə Google BigQuery-ə Datastream yaratmağa və bütün verilənlər bazasını ixrac etməyə imkan verir. Bura parol heşləri və gizli API açarları kimi həssas məlumatlar daxildir. Marşrut konfiqurasiya yoxlaması (`config.DATA_WAREHOUSE_EXPORTS_ALLOWED`) ilə qorunsa da, istifadəçinin giriş səviyyəsini yoxlamır və heç bir giriş nəzarəti proqram təminatını (middleware) tətbiq etmir. Bu zəiflik həssas məlumatların çıxarılmasına, xidmətlərin pozulmasına, etibarnamələrin ələ keçirilməsinə və xidmət bütövlüyünün pozulmasına səbəb ola bilər.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| lunary lunary | 1.4.28 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.