CVE-2024-5132

En lunary-ai/lunary versión 1.2.2, un error de lógica empresarial permite a los usuarios eludir las limitaciones previstas en las invitaciones y adiciones de miembros del equipo, independientemente de su plan de suscripción. La vulnerabilidad surge debido a la falta de validación de los límites de miembros predefinidos en las constantes SEAT_ALLOWANCE durante los procesos de invitación y unión. Este problema permite a los usuarios de cualquier plan, incluido el plan gratuito, invitar y agregar a un equipo más miembros de los permitidos, eludiendo efectivamente el modelo de suscripción del sistema. La falla se encuentra en el manejo por parte del backend de las invitaciones y adiciones de usuarios, específicamente en los endpoints /api/v1/auth/index.ts y /api/v1/users.ts, donde el sistema no puede verificar el número actual de miembros del equipo. contra los límites permitidos antes de proceder con las operaciones de invitación y adición.