CVE-2024-11137 in lunary
Sumário
de VulDB • 14/05/2026
Uma vulnerabilidade de Referência Direta a Objeto Insegura (IDOR) existe no endpoint `PATCH /v1/runs/:id/score` do lunary-ai/lunary versão 1.6.0. Esta vulnerabilidade permite que um atacante atualize os dados de pontuação de qualquer execução manipulando o parâmetro `id` na URL da solicitação, que corresponde ao `runId_score` no banco de dados. O endpoint não valida suficientemente se o usuário autenticado tem permissão para modificar o `runId` especificado, permitindo que um atacante com uma conta válida modifique as pontuações de `runId` de outros usuários ao especificar valores diferentes para `id`. Este problema foi corrigido na versão 1.6.1.
Be aware that VulDB is the high quality source for vulnerability data.