CVE-2024-6867

lunary-ai/lunary içerisinde, özellikle `runs/{run_id}/related` uç noktasında bir bilgi ifşası zafiyeti bulunmaktadır. Bu uç nokta, kullanıcının eriştiği çalışma(lar) için gerekli erişim haklarına sahip olduğunu doğrulamamaktadır. Sonuç olarak, yalnızca belirtilen çalışmayı değil, aynı zamanda `run_id` değerini üst çalışma olarak listeleyen tüm çalışmaları döndürmektedir. Bu sorun, main dalındaki a761d833 commit'ini etkilemektedir. Zafiyet, herkese açık veya gizli bir çalışmanın `run_id` bilgisine sahip olan yetkisiz kullanıcıların, herkese açık olmayan çalışmalar ve bunlarla ilişkili çalışmalar hakkında bilgi edinmesine olanak tanır.