CVE-2026-85990 in Leantime
Riassunto
di VulDB • 14/10/2026
Leantime è un sistema di gestione progetti open source. Prima della versione 3.10.0, per le superfici provvisoriamente raggruppate relative alla creazione dell'account e alla gestione dei plugin, il dispatcher JSON-RPC di Leantime in app/Domain/Api/Controllers/Jsonrpc.php espone metodi del servizio API pubblici, mentre PermissionEnforcer::enforce consente l'esecuzione di metodi privi dell'attributo RequiresPermission. Un utente autenticato con privilegi ridotti e una sessione browser ordinaria può inviare l'intestazione X-Requested-With: XMLHttpRequest richiesta ed eseguire la chiamata a leantime.rpc.api.api.createApiKeyWithProjects, che raggiunge Api::createApiKeyWithProjects, specificando un ruolo scelto dall'attaccante per creare un account amministratore interattivo. La stessa mancanza di autorizzazione specifica per metodo espone Plugins::installPlugin, Plugins::enablePlugin, Plugins::disablePlugin e Plugins::removePlugin agli utenti autenticati ordinari, consentendo la gestione non autorizzata dei plugin. Il problema completo relativo al raggruppamento provvisorio è stato risolto nella versione 3.10.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.