CVE-2024-3501 in lunary
要約
〜によって VulDB • 2026年05月29日
lunary-ai/lunaryの1.2.5以前のバージョンでは、`GET /v1/users/me`および`GET /v1/users/me/org` APIエンドポイントのレスポンスにワンタイムトークンが含まれることにより、情報漏洩の脆弱性が存在します。これらのトークンはパスワードリセットやアカウント検証などの機密操作に使用されるものですが、不正なアクターに公開される可能性があり、ユーザーに代わって操作を実行できる可能性があります。この問題はバージョン1.2.6で修正され、ユーザー向けクエリにおけるワンタイムトークンの公開が緩和されました。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.