Vulnerabilidad en lunary-ai/lunary (CVE-2024-3379)

Gravedad CVSS v3.1:

ALTA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

14/11/2024

Última modificación:

18/11/2024

Descripción

En las versiones 1.2.2 a 1.2.6 de lunary-ai/lunary, una vulnerabilidad de autorización incorrecta permite a los usuarios sin privilegios volver a generar la clave privada para proyectos a los que no tienen acceso. En concreto, un usuario con un rol de "Miembro" puede emitir una solicitud para regenerar la clave privada de un proyecto sin tener los permisos necesarios o estar asignado a ese proyecto. Este problema se solucionó en la versión 1.2.7.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 8.10 ALTA
Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Ninguno