CVE-2024-1902

CVE

Высокий

lunary-ai/lunary уязвим для атаки повторного использования сеанса, позволяющей удаленному пользователю изменять название организации без на…

CVSS

7.5

Высокий

EPSS

0.00

p30

Опубликовано

2024-01-01

Обновлено

2024-01-01

Описание

lunary-ai/lunary уязвим для атаки повторного использования сеанса, позволяющей удаленному пользователю изменять название организации без надлежащей авторизации. Уязвимость возникает из-за отсутствия проверки, чтобы убедиться, что пользователь все еще является частью организации, прежде чем разрешить ему вносить изменения. Злоумышленник может использовать это, используя старый токен авторизации для отправки запроса PATCH, изменяя название организации даже после удаления из организации. Эта проблема связана с неправильной синхронизацией и затрагивает маршрут orgs.patch.

Теги · CWE

Без аутентификации

CWE-821

Затронутые продукты

Lunary < 1.2.8

Вектор CVSS

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N

Хронология

2024-01-01

Опубликована

2024-01-01

Обновлена

Разбор CVSS 3.1

Вектор атаки

AV: N

Сеть (N)

Сложность атаки

AC: L

Низкая (L)

Требуемые привилегии

PR: N

Отсутствуют (N)

Взаимодействие с пользователем

UI: N

Отсутствует (N)

Область воздействия

S: U

Неизменная (U)

Воздействие на конфиденциальность

C: N

Отсутствует (N)

Воздействие на целостность

I: H

Высокое (H)

Воздействие на доступность

A: N

Отсутствует (N)

Индикаторы эксплуатации

EPSS

0.004 · p30

Известна эксплуатация (KEV)

Нет

Проверки Сканер-ВС

Проверок Сканер-ВС для этой уязвимости в базе пока нет.

Затронутые продукты

Lunary

Продукт	Вендор	Статус
lunary	*	Отслеживается

Источники данных

CVE