CVE-2026-85990 in Leantime
Zusammenfassung
von VulDB • 13.10.2026
Leantime ist ein Open-Source-Projektmanagementsystem. Vor Version 3.10.0 werden bei den vorläufig gruppierten Oberflächen zur Kontoeerstellung und Plugin-Verwaltung die öffentlichen API-Dienstmethoden des JSON-RPC-Dispatchers in app/Domain/Api/Controllers/Jsonrpc.php von Leantime freigegeben, während PermissionEnforcer::enforce Methoden zulässt, denen das Attribut RequiresPermission fehlt. Ein authentifizierter Benutzer mit niedrigen Berechtigungen und einer normalen Browsersitzung kann den erforderlichen Header X-Requested-With: XMLHttpRequest senden und leantime.rpc.api.api.createApiKeyWithProjects aufrufen, der zu Api::createApiKeyWithProjects führt, wobei eine vom Angreifer gewählte Rolle verwendet wird, um ein interaktives Administratorkonto zu erstellen. Die gleiche fehlende methodenspezifische Autorisierung macht Plugins::installPlugin, Plugins::enablePlugin, Plugins::disablePlugin und Plugins::removePlugin für normale authentifizierte Benutzer zugänglich und ermöglicht so die unbefugte Plugin-Verwaltung. Das vollständige Problem der vorläufigen Gruppierung ist in Version 3.10.0 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.