Мониторинг Карточка CVE
Открытые данные
К списку уязвимостей
Высокий
Опубликована

CVE-2024-5478

Cross-site Scripting (XSS) in SAML metadata endpoint in lunary-ai/lunary

Публикация: 06.06.2024·Обновлена: 10.09.2026, 06:50·Europe/Moscow

Что произошло

Автоперевод выключен · оригинальное описание

A Cross-site Scripting (XSS) vulnerability exists in the SAML metadata endpoint `/auth/saml/${org?.id}/metadata` of lunary-ai/lunary version 1.2.7. The vulnerability arises due to the application's failure to escape or validate the `orgId` parameter supplied by the user before incorporating it into the generated response. Specifically, the endpoint generates XML responses for SAML metadata, where the `orgId` parameter is directly embedded into the XML structure without proper sanitization or validation. This flaw allows an attacker to inject arbitrary JavaScript code into the generated SAML metadata page, leading to potential theft of user cookies or authentication tokens.

Что это значит

Входные данные могут попасть в страницу как активное содержимое. При выполнении условий атаки это затрагивает пользователей приложения.

Что делать

Редакционные пояснения, сведения источников и общие рекомендации помечены отдельно
Устранить в течение 7 дней

1. Проверьте, затронуты ли вы

Соберите инвентаризацию и сравните с таблицей затронутых версий. Эти команды только показывают установленные компоненты и сами по себе не доказывают наличие CVE.

Debian / Ubuntu
dpkg-query -W -f='${Package}	${Version}\n'
RHEL / AlmaLinux
rpm -qa --qf '%{NAME}\t%{VERSION}-%{RELEASE}\n'
Windows PowerShell
Get-HotFix | Select-Object HotFixID, InstalledOn
Общая рекомендация, не из бюллетеня вендора

2. Установите исправление

Сверьте точный продукт и версию с бюллетенем вендора. Установите указанное в нём исправление после резервного копирования и проверки совместимости. Подтверждённая целевая версия в источниках отсутствует.

Общая рекомендация, не из бюллетеня вендора

3. Временные меры

До проверки бюллетеня ограничьте доступ к затронутому компоненту доверенными узлами. Оцените сегментацию и отключение ненужных интерфейсов с владельцем сервиса; универсального правила WAF для этой CVE не подтверждено.

Общая рекомендация, не из бюллетеня вендора

4. Проверьте следы эксплуатации

Проверьте аномальные входы, новые учётные записи, ошибки и необычные дочерние процессы в затронутом сервисе. Публичные проверенные правила обнаружения не включены в запись; отсутствие сигналов не доказывает отсутствие компрометации.

Общая рекомендация, не из бюллетеня вендора

5. После исправления

  • Проверьте фактическую версию и результат установки по бюллетеню.
  • При необходимости перезапустите сервисы в согласованное окно.
  • Повторите проверку сканером и функциональные проверки.
  • Зафиксируйте результат, дату, владельца и оставшийся риск.

Продукты и затронутые версии

lunary-ai / lunary-ai/lunary 

{
  "status": "affected",
  "version": "unspecified",
  "versionType": "custom",
  "lessThanOrEqual": "latest"
}

lunary / lunary 

{
  "status": "affected",
  "version": "0",
  "versionType": "custom",
  "lessThanOrEqual": "1.2.7"
}
cpe:2.3:a:lunary:lunary:1.2.7:*:*:*:*:*:*:*

CVSS: оценки и векторы

CVSS 3.0 · cve7.4
CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:N/A:N
AV · Вектор атакисеть
AC · Сложность атакинизкая
PR · Привилегиине нужны
UI · Участие пользователятребуется
S · Область воздействияменяется
C · Конфиденциальностьвысокое
I · Целостностьнет
A · Доступностьнет

Классы CWE

CWE-79 · Межсайтовое выполнение сценариев (XSS)

Источники и ссылки

Материал · huntr.com · cveCVE Program · www.cve.org · CVE ProgramNVD · nvd.nist.gov · NVD
Происхождение полей
{
  "cwes": [
    "cve"
  ],
  "epss": {
    "source": "epss",
    "received_at": "2026-11-03T21:08:30.058682+00:00"
  },
  "title": {
    "source": "cve",
    "received_at": "2026-10-29T00:48:19.420570+00:00"
  },
  "scores": [
    "cve"
  ],
  "status": {
    "source": "cve",
    "received_at": "2026-10-29T00:48:19.420570+00:00"
  },
  "affected": [
    "cve"
  ],
  "published": {
    "source": "cve",
    "received_at": "2026-10-29T00:48:19.420570+00:00"
  },
  "solutions": [],
  "percentile": {
    "source": "epss",
    "received_at": "2026-11-03T21:08:30.058682+00:00"
  },
  "references": [
    "cve"
  ],
  "description": {
    "source": "cve",
    "received_at": "2026-10-29T00:48:19.420570+00:00"
  },
  "workarounds": [],
  "configurations": []
}

Хронология записи

  1. Данные обновлены04.11.2026, 00:08
  2. Данные обновлены03.11.2026, 00:08
  3. Данные обновлены02.11.2026, 00:07
  4. Данные обновлены31.10.2026, 11:54
  5. Данные обновлены30.10.2026, 13:30
  6. Данные обновлены29.10.2026, 10:42
  7. Опубликована29.10.2026, 03:48

Личная заметка и статус

Другие CVE того же продукта

УЯЗВИМОСТЬ / ПРОДУКТПРИОРИТЕТCVSSEPSSСИГНАЛЫОПУБЛИКОВАНАКарточка
CVE-2024-4146
Incorrect Authorization in lunary-ai/lunary
lunary-ai / lunary-ai/lunary · lunary / lunary
Критический9.8
0,54 %
08.06.2024
CVE-2024-5389
Insufficient Access Control in lunary-ai/lunary
lunary-ai / lunary-ai/lunary · lunary-ai / lunary
Средний5.7
0,43 %
10.06.2024
CVE-2024-5130
Incorrect Authorization in lunary-ai/lunary
lunary-ai / lunary-ai/lunary · lunary-ai / lunary
Высокий7.5
0,48 %
06.06.2024
CVE-2024-7472
Email Injection Vulnerability in lunary-ai/lunary
lunary-ai / lunary-ai/lunary · lunary-ai / lunary
Средний5.3
0,46 %
29.10.2024
CVE-2024-6086
Improper Access Control in lunary-ai/lunary
lunary-ai / lunary-ai/lunary · lunary-ai / lunary
Средний5.3
0,41 %
27.06.2024