CVE-2024-5127
Açıklama
lunary-ai/lunary versiyonları 1.2.2 ile 1.2.25 arasında bulunan bir hatalı erişim kontrolü zafiyeti, Ücretsiz plandaki kullanıcıların diğer üyeleri davet etmesine ve onlara yalnızca Ücretli ve Kurumsal planlar için tasarlanmış olanlar da dahil olmak üzere herhangi bir rol atamasına izin vermektedir. Bu sorun, rollerin ve izinlerin arka uçta yetersiz doğrulanmasından kaynaklanmakta; böylece yetkisiz kullanıcıların bir projeye katılmasına ve potansiyel olarak kendileri için öngörülmeyen rol ve izinleri istismar etmelerine olanak tanımaktadır. Zafiyet özellikle, arka ucun kullanıcının bir plan için ödeme yapıp yapmadığını doğrulamadan herhangi bir rol atanmış davet bağlantıları göndermesine izin verdiği Ekip özelliğini etkilemektedir. Bu durum, proje ayarlarının veya verilerinin yetkisiz erişimine ve manipüle edilmesine yol açabilir.
Nasıl düzeltilir
- lunary lunary1.2.25 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| lunary lunary | 1.2.2 ≤ v < 1.2.25 | 1.2.25 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.