CVE-2026-85990 in Leantime
요약
\~에 의해 VulDB • 2026. 10. 13.
Leantime는 오픈 소스 프로젝트 관리 시스템입니다. 버전 3.10.0 이전에는 임시로 그룹화된 계정 생성 및 플러그인 관리 인터페이스에서, Leantime의 JSON-RPC 디스패처(app/Domain/Api/Controllers/Jsonrpc.php)가 공개 API 서비스 메서드를 노출하며, PermissionEnforcer::enforce는 RequiresPermission 특성이 없는 메서드들을 허용합니다. 낮은 권한을 가진 인증된 사용자가 일반 브라우저 세션에서 필요한 X-Requested-With: XMLHttpRequest 헤더를 전송하여 leantime.rpc.api.api.createApiKeyWithProjects(이는 Api::createApiKeyWithProjects로 이어짐)를 공격자가 선택한 역할(role)과 함께 호출하면 상호작용 가능한 관리자 계정을 생성할 수 있습니다. 동일한 메서드별 권한 부재 문제는 Plugins::installPlugin, Plugins::enablePlugin, Plugins::disablePlugin 및 Plugins::removePlugin을 일반 인증된 사용자에게 노출시켜 무단 플러그인 관리를 가능하게 합니다. 이 전체적인 임시 그룹화 관련 이슈는 버전 3.10.0에서 수정되었습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.