Vulnerabilidad en lunary-ai/lunary v1.2.26 (CVE-2024-7472)

Gravedad CVSS v3.1:

MEDIA

Tipo:

CWE-74 Neutralización incorrecta de elementos especiales en la salida utilizada por un componente interno (Inyección)

Fecha de publicación:

29/10/2024

Última modificación:

31/10/2024

Descripción

lunary-ai/lunary v1.2.26 contiene una vulnerabilidad de inyección de correo electrónico en la API de verificación de envío de correo electrónico (/v1/users/send-verification) y la API de registro (/auth/signup). Un atacante no autenticado puede inyectar datos en los correos electrónicos salientes al omitir la función extractFirstName utilizando un carácter de espacio en blanco diferente (por ejemplo, \xa0). Esta vulnerabilidad se puede explotar para realizar ataques de phishing, dañar la marca de la aplicación, causar problemas legales y de cumplimiento y generar un impacto financiero debido al uso no autorizado del correo electrónico.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 6.50 MEDIA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Obligatorio
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Ninguno