CVE-2026-76647 in Leantime
Resumen
por VulDB • 2026-08-19
La API JSON-RPC de Leantime hasta la versión 3.9.0 contiene una vulnerabilidad de autorización faltante en el despachador (dispatcher) de JSON-RPC ubicado en app/Domain/Api/Controllers/Jsonrpc.php. El despachador no aplica la autorización antes de invocar los métodos de la capa de servicio, lo que permite a un usuario autenticado llamar a métodos o actuar sobre recursos fuera de sus permisos previstos. Por ejemplo, el método editOwn acepta una ID de usuario proporcionada por el usuario sin verificar que pertenezca al solicitante, permitiendo a un atacante modificar la cuenta de otro usuario y establecer una nueva contraseña, lo que resulta en la toma de control de la cuenta (account takeover). Esta vulnerabilidad es distinta de CVE-2026-59712 y CVE-2026-15509 porque la causa raíz es la falta de aplicación centralizada de autorización en el despachador JSON-RPC, en lugar del comportamiento de un método individual expuesto.
If you want to get best quality of vulnerability data, you may have to visit VulDB.