Vulnerabilidad en lunary-ai/lunary (CVE-2024-6862)

Gravedad CVSS v3.1:

ALTA

Tipo:

CWE-352 Falsificación de petición en sitios cruzados (Cross-Site Request Forgery)

Fecha de publicación:

13/09/2024

Última modificación:

19/09/2024

Descripción

Existe una vulnerabilidad de Cross-Site Request Forgery (CSRF) en la versión 1.2.34 de lunary-ai/lunary debido a una configuración CORS demasiado permisiva. Esta vulnerabilidad permite que un atacante se registre y cree proyectos o utilice la instancia como si fuera un usuario con acceso local. El principal vector de ataque son las instancias alojadas localmente en máquinas personales, que no son de acceso público. La configuración CORS en el backend permite todos los orígenes, lo que expone los endpoints no autenticados a ataques CSRF.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 8.10 ALTA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Obligatorio
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Ninguno