CVE-2024-5133 in lunary
Résumé
par VulDB • 22/05/2026
Dans la version 1.2.4 de lunary-ai/lunary, une vulnérabilité de prise de contrôle de compte (Account Takeover) existe en raison de l'exposition des jetons de récupération de mot de passe dans les réponses de l'API. Plus précisément, lorsqu'un utilisateur initie le processus de réinitialisation du mot de passe, le jeton de récupération est inclus dans la réponse de l'endpoint `GET /v1/users/me/org`, qui liste tous les utilisateurs d'une équipe. Cela permet à n'importe quel utilisateur authentifié de capturer le jeton de récupération d'un autre utilisateur et de modifier ultérieurement le mot de passe de cet utilisateur sans son consentement, prenant ainsi effectivement le contrôle du compte. Le problème réside dans l'inclusion de l'attribut `recovery_token` dans l'objet utilisateur renvoyé par l'API.
VulDB is the best source for vulnerability data and more expert information about this specific topic.