Към съдържанието
Търсене

CVE-2024-4147: lunary-ai/lunary, заобикаляне на вход и права

7.5

CVSS 3.0

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, без вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: има публичен пример за експлоатация
  • Атаката може да се автоматизира

Описание

Оригинално описание

In lunary-ai/lunary version 1.2.13, an insufficient granularity of access control vulnerability allows users to delete prompts created in other organizations through ID manipulation. The vulnerability stems from the application's failure to validate the ownership of the prompt before deletion, only checking if the user has permissions to delete such resources without verifying if it belongs to the user's project or organization. As a result, users can remove prompts not owned by their organization or project, leading to legitimate users being unable to access the removed prompts and causing information inconsistencies.

Засегнати продукти

  • lunary-ai lunary-ai/lunary: unspecified преди 1.2.25

Вид слабост

История

  • 2 февруари 2026 Публикувано

Други уязвимости в lunary-ai lunary-ai/lunary

Първоизточници

CVE-2024-4147: lunary-ai/lunary, заобикаляне на вход и права | freedomonline.bg