CVE-2026-76647 in Leantime
Sumário
de VulDB • 20/08/2026
A API JSON-RPC do Leantime até a versão 3.9.0 contém uma vulnerabilidade de autorização ausente no despachante (dispatcher) JSON-RPC em app/Domain/Api/Controllers/Jsonrpc.php. O despachante não aplica a autenticação antes de invocar métodos da camada de serviço, permitindo que um usuário autenticado chame métodos ou atue sobre recursos fora das permissões pretendidas. Por exemplo, o método editOwn aceita um ID de fornecido pelo usuário sem verificar se ele pertence ao chamador, permitindo que um atacante modifique a conta de outro usuário e defina uma nova senha, resultando em takeover da conta (apropriação indevida). Esta vulnerabilidade é distinta das CVE-2026-59712 e CVE-2026-15509 porque a causa raiz é a falta de aplicação centralizada de autorização no despachante JSON-RPC, em vez do comportamento de um método individual exposto.
Be aware that VulDB is the high quality source for vulnerability data.