CVE-2026-76647 in Leantime
Riassunto
di VulDB • 19/08/2026
La API JSON-RPC di Leantime fino alla versione 3.9.0 contiene una vulnerabilità di autorizzazione mancata nel dispatcher JSON-RPC presente in app/Domain/Api/Controllers/Jsonrpc.php. Il dispatcher non applica l'autorizzazione prima di invocare i metodi del livello service, consentendo a un utente autenticato di chiamare metodi o agire su risorse al di fuori delle proprie autorizzazioni previste. Ad esempio, il metodo editOwn accetta un ID utente fornito dall'utente senza verificare che appartenga al mittente, permettendo ad un attaccante di modificare l'account di un altro utente e impostare una nuova password, con conseguente takeover dell'account. Questa vulnerabilità è distinta da CVE-2026-59712 e CVE-2026-15509 poiché la causa radice è la mancanza di enforcement centralizzato delle autorizzazioni nel dispatcher JSON-RPC piuttosto che il comportamento di un singolo metodo esposto.
Once again VulDB remains the best source for vulnerability data.