جزئیات آسیب‌پذیری
CVE-2025-9803
lunary-ai lunary-ai/lunary
Improper Authentication in lunary-ai/lunary
CVSS 3.0
9.3بحرانی
شرح رسمی (انگلیسی)
lunary-ai/lunary version 1.9.34 is vulnerable to an account takeover due to improper authentication in the Google OAuth integration. The application fails to verify the 'aud' (audience) field in the access token issued by Google, which is crucial for ensuring the token is intended for the application. This oversight allows attackers to use tokens issued to malicious applications to gain unauthorized access to user accounts. The issue is resolved in version 1.9.35.
امتیازهای CVSS
| امتیاز | نسخه | منبع | بردار |
|---|---|---|---|
| 9.3بحرانی | 3.0 | CVEProject cvelistV5 (CNA) (@huntr_ai) | CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:N |
محصولات آسیب‌پذیر
| فروشنده | محصول | نسخه‌ها | منبع |
|---|---|---|---|
| lunary-ai | lunary-ai/lunary | v < 1.9.35 | CVEProject cvelistV5 (CNA) |
منابع و راهنماها
۲
هشدار CVEهای بعدی این محصولمحصول را دنبال کنید تا آسیب‌پذیری‌های تازه را در تلگرام بگیرید.
اطلاعات
- تاریخ انتشار
- ۱۴۰۴/۰۹/۰۴
- آخرین به‌روزرسانی
- ۱۴۰۴/۰۹/۰۴
- وضعیت
- منتشرشده
- صادرکننده (CNA)
- @huntr_ai
پیش‌بینی بهره‌برداری (EPSS)
۰٫۴۶٪
احتمال بهره‌برداری در ۳۰ روز
۴۰٫۱٪
صدک (نسبت به همه‌ی CVEها)
ارزیابی SSVC (CISA)
- قابل خودکارسازی
- خیر
- وضعیت بهره‌برداری
- اثبات مفهوم
- اثر فنی
- کامل
ضعف‌ها (CWE)
- CWE-287Improper Authentication