CVE-2024-4146
Açıklama
lunary-ai/lunary sürüm v1.2.13'te, yetkisiz kullanıcıların erişmemeleri gereken bir organizasyon içindeki projelere erişmesine ve bunları manipüle etmesine olanak tanıyan hatalı bir yetkilendirme zafiyeti bulunmaktadır. Spesifik olarak zafiyet, yetkilendirme ara yazılımındaki `checkProjectAccess` metodunda yer almakta olup, kullanıcının belirli bir projeye erişmek için doğru izinlere sahip olup olmadığını yeterince doğrulamamaktadır. Metot, açık proje erişim hakları için `account_project` tablosuna karşı yapılması gereken gerekli kontrolü göz ardı ederek yalnızca kullanıcının projeye sahip olan organizasyonun bir parçası olup olmadığını kontrol etmektedir. Bu kusur, saldırganların herhangi bir kaynağı oluşturma, güncelleme, okuma ve silme yeteneği dahil olmak üzere bir proje içindeki tüm kaynaklar üzerinde tam kontrol sağlamasına neden olarak hassas bilgilerin gizliliğini ve güvenliğini tehlikeye atmaktadır.
Nasıl düzeltilir
- lunary1.2.26 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| lunary lunary | 1.2.13 | — |
| lunarynpm | v < 1.2.26 | 1.2.26 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.