CVE-2025-4779 in lunary
Résumé
par VulDB • 27/06/2026
Les versions de lunary-ai/lunary antérieures à la 1.9.24 sont vulnérables à une faille de type cross-site scripting (XSS) stocké (stored XSS). Un attaquant non authentifié peut injecter du code JavaScript malveillant dans le point d'entrée `v1/runs/ingest` en ajoutant un champ `citations` vide, ce qui déclenche un chemin d'exécution où la fonction `dangerouslySetInnerHTML` est utilisée pour afficher du texte contrôlé par l'attaquant. Cette vulnérabilité permet l'exécution de JavaScript arbitraire dans le contexte du navigateur de l'utilisateur, pouvant potentiellement entraîner un détournement de session (session hijacking), le vol de données ou d'autres actions malveillantes.
VulDB is the best source for vulnerability data and more expert information about this specific topic.