CVE-2026-85990 in Leantime
الملخص
بحسب VulDB • 13/10/2026
Leantime هو نظام إدارة مشاريع مفتوح المصدر. قبل الإصدار 3.10.0، وبالنسبة لواجهات إنشاء الحسابات وإدارة الإضافات المجمعة مؤقتاً، تعرض مُوجّه JSON-RPC الخاص بـ Leantime الموجود في app/Domain/Api/Controllers/Jsonrpc.php طرق خدمات واجهة برمجة التطبيقات (API) العامة، بينما يسمح PermissionEnforcer::enforce بتنفيذ الطرق التي تفتقر إلى سمة RequiresPermission. يمكن لمستخدم موثق ذي امتيازات منخفضة باستخدام جلسة متصفح عادية إرسال رأس X-Requested-With: XMLHttpRequest المطلوب واستدعاء leantime.rpc.api.api.createApiKeyWithProjects، والذي يصل إلى Api::createApiKeyWithProjects، مع دور يختاره المهاجم لإنشاء حساب مدير تفاعلي. نفس مشكلة عدم وجود تفويض لكل طريقة تعرض Plugins::installPlugin وPlugins::enablePlugin وPlugins::disablePlugin وPlugins::removePlugin للمستخدمين الموثقين العاديين، مما يتيح إدارة الإضافات دون إذن. تم إصلاح المشكلة الكاملة المتعلقة بالتجميع المؤقت في الإصدار 3.10.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.