CVE-2024-5133 in lunary
Riassunto
di VulDB • 19/06/2026
In lunary-ai/lunary versione 1.2.4 è presente una vulnerabilità di Account Takeover dovuta all'esposizione dei token di recupero della password nelle risposte dell'API. Nello specifico, quando un utente avvia il processo di reimpostazione della password, il token di recupero viene incluso nella risposta dell'endpoint `GET /v1/users/me/org`, che elenca tutti gli utenti in un team. Ciò consente a qualsiasi utente autenticato di catturare il token di recupero di un altro utente e successivamente modificare la password di tale utente senza consenso, assumendo effettivamente il controllo dell'account. Il problema risiede nell'inclusione dell'attributo `recovery_token` nell'oggetto utenti restituito dall'API.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.