Vulnerabilidad en lunary-ai/lunary (CVE-2024-9098)

Gravedad CVSS v3.1:

MEDIA

Tipo:

CWE-284 Control de acceso incorrecto

Fecha de publicación:

20/03/2025

Última modificación:

10/04/2025

Descripción

En lunary-ai/lunary, versiones anteriores a la 1.4.30, existía una vulnerabilidad de escalada de privilegios que permitía a los administradores invitar a nuevos miembros con permisos de facturación, obteniendo así acceso no autorizado a los recursos de facturación. Este problema surge porque el endpoint de creación de usuarios no impide que los administradores inviten a usuarios con roles de facturación. Como resultado, los administradores pueden eludir el control de acceso previsto, lo que supone un riesgo para los recursos financieros de la organización.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:U/C:H/I:H/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 6.10 MEDIA
Vector: CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:U/C:H/I:H/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Alto
Interacción del usuario (UI): Obligatorio
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Ninguno