Injecció SQL a lunary-ai/lunar
04/11/2024
CVE-2024-7456
CRÍTIC (9,8)
CVSS3: 0,0
Hi ha una vulnerabilitat d’injecció SQL a la ruta ‘/api/v1/external-users’ de la versió lunary-ai/lunary v1.4.2. La clàusula “order by” de la consulta SQL utilitza “sql.unsafe” sense desinfecció prèvia, permet la injecció d’SQL. La variable ‘orderByClause’ es construeix sense validació o desinfecció del servidor, la qual cosa permet que un atacant executi ordres SQL arbitràries. L’explotació correcta pot provocar la pèrdua, modificació o corrupció de dades.
Sistemes Afectats
- lunary-ai lunary-ai/lunary – unspecified
Remediació
No hi ha cap recurs disponible a partir de l’1 de novembre de 2024.
25
