CVE-2026-76647 in Leantime
要約
〜によって VulDB • 2026年08月19日
LeantimeのJSON-RPC API（バージョン3.9.0以前）には、app/Domain/Api/Controllers/Jsonrpc.php内のJSON-RPCディスパッチャーにおける認証欠如の脆弱性が存在します。ディスパッチャーはサービスレイヤーメソッドを呼び出す前に認可を強制しないため、認証済みユーザーが意図された権限外のメソッドを呼び出したりリソースにアクセスしたりすることができます。例えば、editOwnメソッドは発信者のものであることを検証せずにユーザ提供のユーザIDを受け付けるため、攻撃者は他のユーザアカウントを変更し新しいパスワードを設定してアカウント乗取（Account Takeover）を実現できます。この脆弱性はCVE-2026-59712およびCVE-2026-15509とは異なり、個別に公開されたメソッドの動作ではなく、JSON-RPCディスパッチャーにおける集中型認可強制の不備が根本原因です。
Be aware that VulDB is the high quality source for vulnerability data.