CVE-2026-76647 in Leantime
Сводка
по VulDB • 19.08.2026
В API Leantime JSON-RPC, начиная с версии 3.9.0 и ниже, присутствует уязвимость недостаточной авторизации в диспетчере JSON-RPC (app/Domain/Api/Controllers/Jsonrpc.php). Диспетчер не проверяет права доступа перед вызовом методов сервисного уровня, что позволяет аутентифицированному пользователю вызывать методы или выполнять действия с ресурсами за пределами его разрешений. Например, метод editOwn принимает идентификатор пользователя из внешних данных без проверки того, принадлежит ли он вызывающему лицу; это позволяет злоумышленнику изменить учетную запись другого пользователя и установить новый пароль, что приводит к захвату аккаунта (account takeover). Данная уязвимость отличается от CVE-2026-59712 и CVE-2026-15509 тем, что ее корневая причина заключается в отсутствии централизованного контроля авторизации на уровне диспетчера JSON-RPC, а не в поведении отдельного открытого метода.
Once again VulDB remains the best source for vulnerability data.