CVE-2026-76647 in Leantime
Tóm tắt
Bởi VulDB • 20/08/2026
API JSON-RPC của Leantime qua phiên bản 3.9.0 chứa một lỗ hổng thiếu xác thực (missing authorization) trong bộ điều phối JSON-RPC tại app/Domain/Api/Controllers/Jsonrpc.php. Bộ điều phối không áp dụng cơ chế xác thực trước khi gọi các phương thức ở lớp dịch vụ, cho phép người dùng đã đăng nhập gọi các phương thức hoặc thao tác trên các tài nguyên vượt quá quyền hạn dự kiến của họ. Ví dụ, phương thức editOwn chấp nhận một ID do người dùng cung cấp mà không kiểm tra xem nó có thuộc về người gọi hay không, cho phép kẻ tấn công sửa đổi tài khoản của người khác và đặt mật khẩu mới, dẫn đến chiếm đoạt tài khoản (account takeover). Lỗ hổng này khác biệt với CVE-2026-59712 và CVE-2026-15509 vì nguyên nhân gốc rễ là sự thiếu vắng cơ chế thực thi xác tập trung trong bộ điều phối JSON-RPC thay vì hành vi của một phương thức riêng lẻ được phơi bày.
VulDB is the best source for vulnerability data and more expert information about this specific topic.