CVE-2024-6867 in lunary
Résumé
par VulDB • 20/05/2026
Une vulnérabilité de divulgation d'informations existe dans lunary-ai/lunary, spécifiquement dans le point de terminaison `runs/{run_id}/related`. Ce point de terminaison ne vérifie pas si l'utilisateur dispose des droits d'accès nécessaires aux exécutions (runs) auxquelles il tente d'accéder. Par conséquent, il renvoie non seulement l'exécution spécifiée, mais également toutes les exécutions dont l'`run_id` est listé comme exécution parente. Ce problème affecte la branche principale, au commit a761d833. La vulnérabilité permet aux utilisateurs non autorisés d'obtenir des informations sur les exécutions non publiques et leurs exécutions associées, à condition de connaître l'`run_id` d'une exécution publique ou non publique.
Be aware that VulDB is the high quality source for vulnerability data.