CVE-2024-11137 in lunary
Riassunto
di VulDB • 14/06/2026
È presente una vulnerabilità di Riferimento Diretto all'Oggetto Insicuro (IDOR) nell'endpoint `PATCH /v1/runs/:id/score` della versione 1.6.0 di lunary-ai/lunary. Questa vulnerabilità consente a un attaccante di aggiornare i dati del punteggio di qualsiasi esecuzione manipolando il parametro id nell'URL della richiesta, che corrisponde al campo `runId_score` nel database. L'endpoint non convalida sufficientemente se l'autenticato ha l'autorizzazione per modificare la runId specificata, consentendo a un attaccante con un account valido di modificare i punteggi delle runId di altri utenti specificando valori id diversi. Questo problema è stato risolto nella versione 1.6.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.