CVE-2024-5386: Kritische Sicherheitslücke in Lunary AI erlaubt Kontohacking

Zusammenfassung

In Lunary AI Version 1.2.2 wurde eine schwerwiegende Sicherheitslücke entdeckt, die es Nutzern mit "Viewer"-Rolle ermöglicht, Konten anderer Nutzer zu übernehmen. Die Schwachstelle tritt auf, wenn ein Nutzer mit geringeren Rechten eine spezielle Anfrage sendet, die den Server dazu bringt, ein Passwort-Reset-Token preiszugeben. Mit diesem Token kann ein böswilliger "Viewer" dann das Passwort eines anderen Kontos zurücksetzen und es komplett übernehmen. Diese massive Angriffsfläche stellt ein erhebliches Risiko dar und ermöglicht Eskalation von Privilegien und unbefugten Zugriff auf Konten.

Lunary-ai - Lunary-ai/lunary - CRITICAL - CVE-2024-5386. In Lunary version 1.2.2, an account hijacking vulnerability is present, allowing users with a 'viewer' role to exploit a password reset token leak. This vulnerability arises when a lower-privileged user sends a specific request that triggers the server to return a password reset token in the 'recoveryToken' parameter. With this token, a malicious 'viewer' can reset the password of another user's account without any authorization. This excessive attack surface poses a significant risk, enabling privilege escalation and unauthorized account takeover.