CVE-2024-5133— Lunary 信息泄露漏洞
新しい脆弱性情報の通知を購読するログインして購読
I. CVE-2024-5133の基本情報
脆弱性情報
脆弱性についてご質問がありますか？Shenlongの分析が参考になるかご確認ください！
Shenlongの10の質問を表示 ↗ 高度な大規模言語モデル技術を使用していますが、出力には不正確または古い情報が含まれる可能性があります。Shenlongはデータの正確性を確保するよう努めていますが、実際の状況に基づいて検証・判断してください。
脆弱性タイトル
Account Takeover via Exposed Recovery Token in lunary-ai/lunary
ソース: NVD (National Vulnerability Database)
脆弱性説明
In lunary-ai/lunary version 1.2.4, an account takeover vulnerability exists due to the exposure of password recovery tokens in API responses. Specifically, when a user initiates the password reset process, the recovery token is included in the response of the `GET /v1/users/me/org` endpoint, which lists all users in a team. This allows any authenticated user to capture the recovery token of another user and subsequently change that user's password without consent, effectively taking over the account. The issue lies in the inclusion of the `recovery_token` attribute in the users object returned by the API.
ソース: NVD (National Vulnerability Database)
CVSS情報
N/A
ソース: NVD (National Vulnerability Database)
脆弱性タイプ
信息暴露
ソース: NVD (National Vulnerability Database)
脆弱性タイトル
Lunary 信息泄露漏洞
ソース: CNNVD (China National Vulnerability Database)
脆弱性説明
Lunary是lunary开源的一个 LLM 的生产工具包。 Lunary 1.2.4版本存在信息泄露漏洞，该漏洞源于在API响应中暴露了密码恢复令牌。
ソース: CNNVD (China National Vulnerability Database)
CVSS情報
N/A
ソース: CNNVD (China National Vulnerability Database)
脆弱性タイプ
N/A
ソース: CNNVD (China National Vulnerability Database)
影響を受ける製品
| ベンダー | プロダクト | 影響を受けるバージョン | CPE | 購読 |
|---|---|---|---|---|
| lunary-ai | lunary-ai/lunary | unspecified ~ latest | - |
II. CVE-2024-5133の公開POC
| # | POC説明 | ソースリンク | Shenlongリンク |
|---|
AI生成POCプレミアム
公開POCは見つかりませんでした。
ログインしてAI POCを生成III. CVE-2024-5133のインテリジェンス情報
请登录查看更多情报信息。
Same Patch Batch · lunary-ai · 2024-06-06 · 12 CVEs total
| CVE-2024-5126 | Improper Access Control in lunary-ai/lunary | |
| CVE-2024-5277 | Weak Password Recovery Mechanism in lunary-ai/lunary | |
| CVE-2024-5131 | Improper Access Control in lunary-ai/lunary | |
| CVE-2024-5248 | Improper Access Control in lunary-ai/lunary | |
| CVE-2024-5127 | Improper Access Control in lunary-ai/lunary | |
| CVE-2024-5130 | Incorrect Authorization in lunary-ai/lunary | |
| CVE-2024-5328 | SSRF Vulnerability in lunary-ai/lunary | |
| CVE-2024-5129 | Privilege Escalation Vulnerability in lunary-ai/lunary | |
| CVE-2024-5478 | Cross-site Scripting (XSS) in SAML metadata endpoint in lunary-ai/lunary | |
| CVE-2024-5128 | IDOR Vulnerability in lunary-ai/lunary | |
| CVE-2024-3504 | Improper Access Control in lunary-ai/lunary |
IV. 関連脆弱性
同じ製品: lunary-ai/lunary
- CVE-2024-5386
Account Hijacking via Password Reset Token Leak in lunary-ai - CVE-2024-4147
Insufficient Access Control in lunary-ai/lunary - CVE-2025-9803
Improper Authentication in lunary-ai/lunary - CVE-2025-5352
Environment Variable XSS in Analytics Component in lunary-ai - CVE-2025-4962
IDOR Vulnerability in Template Creation via `projectId` Mani
同じベンダー: lunary-ai
- CVE-2024-5386
Account Hijacking via Password Reset Token Leak in lunary-ai - CVE-2024-4147
Insufficient Access Control in lunary-ai/lunary - CVE-2025-9803
Improper Authentication in lunary-ai/lunary - CVE-2025-5352
Environment Variable XSS in Analytics Component in lunary-ai - CVE-2025-4962
IDOR Vulnerability in Template Creation via `projectId` Mani
同じ弱点: CWE-200
- CVE-2026-42333
quarkus-openapi-generator has overly broad path-parameter ma - CVE-2026-8198
Activity Logs, User Activity Tracking, Multisite Activity Lo - CVE-2026-42456
AnythingLLM: Cross-User TTS Audio Disclosure via Chat ID (ID - CVE-2026-41520
Cillium exposes sensitive information included in the cilium - CVE-2026-25199
Apache CloudStack: Proxmox Extension Allows Unauthorized Cro
V. CVE-2024-5133へのコメント
まだコメントはありません