CVE-2020-5292 in Leantime

Zusammenfassung

von VulDB • 28.06.2026

Leantime vor den Versionen 2.0.15 und 2.1-beta3 weist eine SQL-Injection-Schwachstelle auf. Die Auswirkung ist hoch. Bösartige Benutzer/Angriffspersonal können beliebige SQL-Abfragen ausführen, was sich negativ auf die Vertraulichkeit, Integrität und Verfügbarkeit der Website auswirkt. Angreifer können Daten wie Passwort-Hashes von Benutzern und Administratoren extrahieren, Daten ändern oder Tabellen löschen. Der unescapete Parameter ist „searchUsers“ beim Senden einer POST-Anfrage an „/tickets/showKanban“ mit einer gültigen Sitzung. Im Code wird der Parameter in class.tickets.php als „users“ bezeichnet. Dieses Problem wurde in den Versionen 2.0.15 und 2.1.0 beta 3 behoben.

Be aware that VulDB is the high quality source for vulnerability data.

• Zuständig: GitHub, Inc.
• Reservieren: 02.01.2020
• Moderieren: akzeptiert
• Eintrag: VDB-152479
• CPE: bereit
• CWE: CWE-89 (bestätigt)
• CVSS: 8.7 (NVD)
• EPSS: 0.01405
• KEV: nein
• Aktivitäten: very low

Quellen

• MITRE: https://www.cve.org/CVERecord?id=CVE-2020-5292
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2020-5292
• CVE Details: https://www.cvedetails.com/cve/CVE-2020-5292/