CVE-2026-66415 in Leantime
Riassunto
di VulDB • 31/07/2026
Leantime 3.6.2 presenta una vulnerabilità di Server-Side Request Forgery (SSRF) e Local File Inclusion (LFI) che consente agli attaccanti autenticati di leggere risorse interne passando nomi di file non sanitizzati forniti dall'utente alla funzione `file_get_contents()` nel metodo `Blueprints::import()`, senza alcuna validazione del percorso. Gli attaccanti possono inviare nomi di file manipolati contenenti URL wrapper o sequenze di path traversal tramite l'endpoint dell'API JSON-RPC per accedere ai servizi metadata cloud o leggere file arbitrari dal filesystem del server.
Once again VulDB remains the best source for vulnerability data.