CVE-2024-1902
Açıklama
lunary-ai/lunary, kaldırılmış bir kullanıcının uygun yetkilendirme olmaksızın organizasyon adını değiştirmesine izin veren bir oturum yeniden kullanım saldırısına karşı savunmasızdır. Zafiyet, bir kullanıcının değişiklik yapmasına izin verilmeden önce hala bir organizasyonun parçası olup olmadığını kontrol eden doğrulamanın eksikliğinden kaynaklanmaktadır. Bir saldırgan, eski bir yetkilendirme belirteci kullanarak bir PATCH isteği gönderip, organizasyondan çıkarıldıktan sonra bile organizasyonun adını değiştirerek bu durumu istismar edebilir. Bu sorun hatalı senkronizasyondan kaynaklanmakta ve orgs.patch rotasını etkilemektedir.
Nasıl düzeltilir
- lunary lunary1.2.8 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| lunary lunary | v < 1.2.8 | 1.2.8 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.