BDU:2024-11393

Опубликовано: 29 окт. 2024

Источник: fstec

CVSS3: 7.5

CVSS2: 7.8

EPSS Низкий

Описание

Уязвимость функции "Evaluations" платформы для мониторинга, управления и улучшения приложений LLM Lunary связана с обходом авторизации посредством использования ключа, контролируемого пользователем. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать влияние на целостность защищаемой информации путем манипуляции параметра "id"

Вендор

Сообщество свободного программного обеспечения

Наименование ПО

Lunary

Версия ПО

1.3.2 (Lunary)

Тип ПО

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,8)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,5)

Высокий уровень опасности (базовая оценка CVSS 4.0 составляет 8,2)

Возможные меры по устранению уязвимости

Использование рекомендаций:

https://github.com/lunary-ai/lunary/commit/88b55b01fcbab0fbbc5b8032a38d0345af98ecfa

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2024-7473
CVE

EPSS

Процентиль: 36%

0.0015

Низкий

7.5 High

CVSS3

7.8 High

CVSS2

Связанные уязвимости

CVE-2024-7473

CVSS3: 6.5

nvd

больше 1 года назад

An IDOR vulnerability exists in the 'Evaluations' function of the 'umgws datasets' section in lunary-ai/lunary versions 1.3.2. This vulnerability allows an authenticated user to update other users' prompts by manipulating the 'id' parameter in the request. The issue is fixed in version 1.4.3.

GHSA-mrpf-hrph-4gm4