CVE-2024-3760: Lunary forgot-password rate-limit absence leading to mail bombing

このウェブページのスクリーンショットから、以下の脆弱性情報に関する重要データが取得できます。 1. 脆弱性の説明： - タイトル：Mail bombing: rate-limit absent on forgot-password page in lunary-ai/lunary - 報告日：2024年4月14日 - 脆弱性の種類：CWE-770: Allocation of Resources Without Limits or Throttling - 深刻度：高（7.5） - 攻撃経路：ネットワーク - 攻撃複雑度：低 - 権限の要求：不要 - ユーザーの関与：不要 - スコープ：不変 - 機密性への影響：なし - 完全性への影響：なし - 可用性への影響：高 2. 脆弱性の影響： - ユーザーアカウントの運用支障：標的のユーザーアカウントは多数のパスワード再設定メールで溢れ、正当なメールの管理や発見が困難になる可能性があります。大量のパスワード再設定メールは、混乱や不満を引き起こす原因となります。 - メールサーバーのパフォーマンスと可用性：多数のパスワード再設定メールの処理により、メールサーバーの多くのリソースが消費され、パフォーマンスの低下やメール配信速度の遅延を招く可能性があります。深刻なケースでは、メールサーバーが応答不能または利用不可になり、組織全体のメールサービスに影響を及ぼす可能性があります。 3. 脆弱性の悪用： - パスワード再設定リクエストを自動化し、Burp Suiteへ送信する。 - Intruderモジュールを使用してリクエストを送信し、ユーザーエージェントを選択する。 - 攻撃を実行する。 - メールボックスに多数のメールが送信されているかを確認する。 4. 脆弱性のステータス： - 修正済み - 公開済み - lunary-ai/lunary チームに割り当て済み - 検証済み - 開示報奨金が授与済み - 修正報奨金が授与済み 5. 発見者および修正者： - 発見者：antonin36330 - 修正者：Hugues Chocart 6. 脆弱性番号：CVE-2024-3760 7. 影響を受けるバージョン：1.2.7 8. 報奨金情報： - 開示報奨金：450米ドル - 修正報奨金：112.5米ドル これらの情報は、脆弱性の詳細な説明、影響、悪用方法、ステータス、発見者および修正者、報奨金、そして影響を受けるバージョンといった重要なデータを提供しています。

目標達成 すべての支援者に感謝 — 100%達成しました！

CVE-2024-3760: Lunary forgot-password rate-limit absence leading to mail bombing

目標達成すべての支援者に感謝 — 100%達成しました！