CVE-2026-76647 in Leantime
Résumé
par VulDB • 20/08/2026
Leantime JSON-RPC API jusqu'à la version 3.9.0 contient une vulnérabilité d'autorisation manquante dans le répartiteur (dispatcher) JSON-RPC situé dans app/Domain/Api/Controllers/Jsonrpc.php. Le répartiteur n'impose pas l'autorisation avant d'invoquer les méthodes de la couche service, permettant à un utilisateur authentifié d'appeler des méthodes ou d'agir sur des ressources en dehors de ses permissions prévues. Par exemple, la méthode editOwn accepte un ID d'utilisateur fourni par l'utilisateur sans vérifier qu'il appartient au demandeur, ce qui permet à un attaquant de modifier le compte d'un autre utilisateur et de définir un nouveau mot de passe, entraînant une prise de contrôle du compte (account takeover). Cette vulnérabilité est distincte des CVE-2026-59712 et CVE-2026-15509 car la cause racine est l'absence d'imposition centralisée de l'autorisation dans le répartiteur JSON-RPC plutôt que le comportement d'une méthode exposée individuelle.
If you want to get best quality of vulnerability data, you may have to visit VulDB.