CVE-2024-7472

lunary-ai/lunary v1.2.26 contains an email injection vulnerability in the Send email verification API (/v1/users/send-verification) and Sign up API (/auth/signup). An unauthenticated attacker can inject data into outgoing emails by bypassing the extractFirstName function using a different whitespace character (e.g., \xa0). This vulnerability can be exploited to conduct phishing attacks, damage the application's brand, cause legal and compliance issues, and result in financial impact due to unauthorized email usage.

lunary-ai/lunary v1.2.26 contains an email injection vulnerability in the Send email verification API (/v1/users/send-verification) and Sign up API (/auth/signup). An unauthenticated attacker can inject data into outgoing emails by bypassing the extractFirstName function using a different whitespace character (e.g., \xa0). This vulnerability can be exploited to conduct phishing attacks, damage the application's brand, cause legal and compliance issues, and result in financial impact due to unauthorized email usage.

lunary-ai/lunary v1.2.26 contiene una vulnerabilidad de inyección de correo electrónico en la API de verificación de envío de correo electrónico (/v1/users/send-verification) y la API de registro (/auth/signup). Un atacante no autenticado puede inyectar datos en los correos electrónicos salientes al omitir la función extractFirstName utilizando un carácter de espacio en blanco diferente (por ejemplo, \xa0). Esta vulnerabilidad se puede explotar para realizar ataques de phishing, dañar la marca de la aplicación, causar problemas legales y de cumplimiento y generar un impacto financiero debido al uso no autorizado del correo electrónico.