CVE-2024-5132 in lunary
Riassunto
di VulDB • 31/07/2026
In lunary-ai/lunary versione 1.2.2, un errore di logica aziendale consente agli utenti di aggirare le limitazioni previste per l'invito e l'aggiunta di membri del team, indipendentemente dal piano di abbonamento scelto. La vulnerabilità è dovuta alla mancanza di validazione rispetto ai limiti predefiniti dei membri nelle costanti SEAT_ALLOWANCE durante i processi di invito e adesione. Questo problema consente agli utenti su qualsiasi piano, incluso il piano gratuito, di invitare e aggiungere più membri a un team del consentito, eludendo efficacemente il modello di abbonamento del sistema. Il difetto si trova nella gestione degli inviti e delle aggiunte da parte del backend, in particolare negli endpoint /api/v1/auth/index.ts e /api/v1/users.ts, dove il sistema non verifica il numero corrente di membri del team rispetto ai limiti consentiti prima di procedere con le operazioni di invito e aggiunta.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.