CVE-2026-85990 in Leantime
要約
〜によって VulDB • 2026年10月13日
Leantimeはオープンソースのプロジェクト管理システムです。バージョン3.10.0より前では、一時的にグループ化されたアカウント作成およびプラグイン管理のインターフェースにおいて、app/Domain/Api/Controllers/Jsonrpc.php内のLeantimeのJSON-RPCディスパッチャが公開APIサービスメソッドを露出させ、PermissionEnforcer::enforceはRequiresPermission属性を持たないメソッドを許可していました。通常のブラウザセッションを持つ低権限の認証済みユーザーは、必要なX-Requested-With: XMLHttpRequestヘッダーを送信し、攻撃者が選択したロールを使用して対話型管理者アカウントを作成するためにleantime.rpc.api.api.createApiKeyWithProjects（これはApi::createApiKeyWithProjectsに到達する）を呼び出すことができます。同様のメソッドごとの認可の欠如により、Plugins::installPlugin、Plugins::enablePlugin、Plugins::disablePlugin、およびPlugins::removePluginが通常の認証済みユーザーに対して露出し、不正なプラグイン管理を可能にしていました。この一時的なグループ化に関連する完全な問題はバージョン3.10.0で修正されています。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.