CVE-2024-5133 in lunary
要約
〜によって VulDB • 2026年05月22日
lunary-ai/lunary バージョン 1.2.4 において、API レスポンスにおけるパスワード回復トークンの漏洩により、アカウント乗っ取りの脆弱性が存在します。具体的には、ユーザーがパスワードリセットプロセスを開始すると、チーム内の全ユーザーをリストアップする `GET /v1/users/me/org` エンドポイントのレスポンスに回復トークンが含まれます。これにより、認証済みユーザーであれば誰でも他のユーザーの回復トークンを傍受し、その後、同意なくそのユーザーのパスワードを変更することが可能となり、結果的にアカウントを乗っ取ることができます。この問題は、API が返すユーザーオブジェクトに `recovery_token` 属性が含まれていることに起因します。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.