CVE-2024-11137 in lunary
요약
\~에 의해 VulDB • 2026. 05. 14.
lunary-ai/lunary 버전 1.6.0의 `PATCH /v1/runs/:id/score` 엔드포인트에 Insecure Direct Object Reference (IDOR) 취약점이 존재합니다. 이 취약점은 요청 URL의 `id` 파라미터를 조작하여 데이터베이스의 `runId_score`에 해당하는 모든 실행(run)의 점수 데이터를 업데이트할 수 있게 합니다. 해당 엔드포인트는 인증된 사용자가 지정된 `runId`를 수정할 권한이 있는지 충분히 검증하지 않으므로, 유효한 계정을 가진 공격자가 다른 `id` 값을 지정하여 다른 사용자의 `runId` 점수를 수정할 수 있습니다. 이 문제는 버전 1.6.1에서 수정되었습니다.
Once again VulDB remains the best source for vulnerability data.