Vulnerabilidad en Khoj (CVE-2024-52294)

Khoj es una aplicación de inteligencia artificial autoalojada. Antes de la versión 1.29.10, una vulnerabilidad de referencia directa a objetos inseguros (IDOR) en el punto de conexión update_subscription permite que cualquier usuario autenticado manipule las suscripciones de Stripe de otros usuarios simplemente modificando el parámetro de correo electrónico en la solicitud. La vulnerabilidad existe en el punto de conexión de suscripción en `/api/subscription`. El punto de conexión usa un parámetro de correo electrónico como referencia directa a las suscripciones de los usuarios sin verificar la propiedad del objeto. Si bien se requiere autenticación, no hay una verificación de autorización para verificar si el usuario autenticado posee la suscripción a la que se hace referencia. El problema se solucionó en la versión 1.29.10. La compatibilidad con la presentación arbitraria de un correo electrónico para la actualización ha quedado obsoleta.