Lunary-ai/lunary 中缺少删除数据集的授权 (CVE-2024-3761)

CVE编号

CVE-2024-3761

利用情况

暂无

补丁情况

N/A

披露时间

2024-05-20

漏洞描述

在lunary-ai/lunary版本1.2.2中，位于`packages/backend/src/api/v1/datasets`的DELETE端点存在漏洞，由于缺乏授权和认证机制，导致未经授权的数据集删除。该漏洞允许任何用户，甚至没有有效令牌的用户，通过向端点发送DELETE请求来删除数据集。该问题已在版本1.2.8中修复。该漏洞的影响很大，允许未经授权的用户删除数据集，可能导致数据丢失或服务中断。

解决建议

"将组件 lunary-ai/lunary 升级至 1.2.8 及以上版本"

参考链接
https://github.com/lunary-ai/lunary/commit/14078c1d2b8766075bf655f187ece24c7a787776
https://huntr.com/bounties/e95fb0a0-e54a-4da8-a33d-ba858d0cec55

CVSS3评分 9.1

• 攻击路径 网络
• 攻击复杂度 低
• 权限要求 无
• 影响范围 未更改
• 用户交互 无
• 可用性 高
• 保密性 无
• 完整性 高

CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H

CWE-ID	漏洞类型
CWE-862	授权机制缺失

Exp相关链接

- avd.aliyun.com