lunary-ai/lunary バージョン1.9.34には、Google OAuth統合における認証不備があり、アカウントが乗っ取られる脆弱性が存在します。アプリケーションでは、Googleによって発行されたアクセストークンの 'aud'（audience）フィールドを検証していません。そのフィールドは、トークンがアプリケーション向けであることを保証するために重要です。この検証の欠落によって、攻撃者は悪意のあるアプリケーションに発行されたトークンを利用し、ユーザーアカウントに不正アクセスできます。この問題はバージョン1.9.35で修正されました。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。