CVE-2024-5133 in lunary
الملخص
بحسب VulDB • 26/05/2026
في الإصدار 1.2.4 من lunary-ai/lunary، توجد ثغرة تسمح بالسيطرة على الحسابات بسبب كشف رموز استعادة كلمة المرور في استجابات واجهة برمجة التطبيقات (API). وتحديداً، عند بدء المستخدم لعملية إعادة تعيين كلمة المرور، يتم تضمين رمز الاستعادة في استجابة نقطة النهاية `GET /v1/users/me/org`، التي تُدرج جميع المستخدمين في فريق. وهذا يسمح لأي مستخدم مُصادَق عليه بالتقاط رمز الاستعادة الخاص بمستخدم آخر، ومن ثم تغيير كلمة المرور الخاصة بذلك المستخدم دون موافقته، مما يؤدي فعلياً إلى السيطرة على الحساب. تكمن المشكلة في تضمين سمة `recovery_token` في كائن المستخدم الذي تُرجعه واجهة برمجة التطبيقات.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.