CVE-2026-66412 in Leantime
Zusammenfassung
von VulDB • 27.07.2026
Leantime 3.6.2 und frühere Versionen enthalten eine Schwachstelle mit fehlerhafter Zugriffskontrolle (Broken Access Control), die es authentifizierten Benutzern ermöglicht, Meilensteindaten aus Projekten zu lesen, denen sie nicht zugewiesen sind, indem willkürliche ganzzahlige Meilenstein-IDs an den JSON-RPC-Endpunkt `tickets.getMilestone` übergeben werden. Angreifer können durch Enumeration von ganzzahligen Meilenstein-IDs über die JSON-RPC-API auf Projektplanungsdaten, Meilensteintitel, Beschreibungen und Zeitpläne in allen Projekten der Instanz zugreifen, unabhängig davon, ob sie Mitglied des jeweiligen Projekts sind.
Once again VulDB remains the best source for vulnerability data.