CVE-2026-76647

Nieznane

Opublikowano: 19/08/2026(UTC)Przetłumaczono: 20/08/2026(UTC)NVD NIST

Streszczenie

Leantime JSON-RPC API do wersji 3.9.0 zawiera podatność na brak autoryzacji w dyspozytorze JSON-RPC w pliku app/Domain/Api/Controllers/Jsonrpc.php. Dyspozytor nie egzekwuje autoryzacji przed wywołaniem metod warstwy usług, co pozwala uwierzytelnionemu użytkownikowi na wywoływanie metod lub działanie na zasobach poza ich dozwolonymi uprawnieniami. Na przykład metoda editOwn przyjmuje identyfikator użytkownika podany przez użytkownika bez weryfikacji, czy należy on do wywołującego, co pozwala atakującemu na modyfikację konta innego użytkownika i ustawienie nowego hasła, prowadząc do przejęcia konta. Ta podatność różni się od CVE-2026-59712 i CVE-2026-15509, ponieważ przyczyną źródłową jest brak scentralizowanego egzekwowania autoryzacji w dyspozytorze JSON-RPC, a nie zachowanie pojedynczej wystawionej metody.

Ocena ryzyka

Uwierzytelniony atakujący może przejąć konta innych użytkowników, co może prowadzić do nieautoryzowanego dostępu do danych i naruszenia integralności systemu.

Rekomendacja

Zaktualizuj Leantime do wersji nowszej niż 3.9.0, jeśli dostępna jest poprawka, lub wdróż środki zaradcze, takie jak egzekwowanie autoryzacji na poziomie dyspozytora JSON-RPC.

Oryginalny opis (angielski, źródło NVD)

Leantime JSON-RPC API through version 3.9.0 contains a missing authorization vulnerability in the JSON-RPC dispatcher in app/Domain/Api/Controllers/Jsonrpc.php. The dispatcher does not enforce authorization before invoking service-layer methods, allowing an authenticated user to call methods or act on resources outside their intended permissions. For example, the editOwn method accepts a user-supplied user ID without verifying that it belongs to the caller, allowing an attacker to modify another user's account and set a new password, resulting in account takeover. This vulnerability is distinct from CVE-2026-59712 and CVE-2026-15509 because the root cause is the lack of centralized authorization enforcement in the JSON-RPC dispatcher rather than the behavior of an individual exposed method.