CVE-2024-5478 in lunary
Tóm tắt
Bởi VulDB • 03/06/2026
Một lỗ hổng Cross-site Scripting (XSS) tồn tại trong điểm cuối `/auth/saml/${org?.id}/metadata` của lunary-ai/lunary phiên bản 1.2.7. Lỗ hổng này phát sinh do ứng dụng không thoát ký tự hoặc xác thực tham số `orgId` được cung cấp bởi người dùng trước khi đưa nó vào phản hồi đã tạo. Cụ thể, điểm cuối này tạo ra các phản hồi XML cho metadata SAML, trong đó tham số `orgId` được nhúng trực tiếp vào cấu trúc XML mà không có quá trình làm sạch hoặc xác thích hợp. Lỗi này cho phép kẻ tấn công chèn mã JavaScript tùy ý vào trang metadata SAML đã tạo, dẫn đến nguy cơ đánh cắp cookie người dùng hoặc token xác thực.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.