CVE-2026-59712
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Podatność w metodzie Users::getUser API JSON-RPC w Leantime umożliwia uwierzytelnionym użytkownikom pobieranie pełnych rekordów użytkowników, w tym skrótów haseł, sekretów TOTP i tokenów sesji. Brak odpowiednich kontroli autoryzacji pozwala na wyliczenie wszystkich kont i uzyskanie danych uwierzytelniających.
Ocena ryzyka
Organizacja narażona jest na przejęcie kont użytkowników poprzez łamanie haseł offline, ominięcie uwierzytelniania dwuskładnikowego (2FA) oraz przechwycenie sesji, co może prowadzić do nieautoryzowanego dostępu do wrażliwych danych i systemów.
Rekomendacja
Należy natychmiast zaktualizować Leantime do wersji, w której poprawiono autoryzację w metodzie Users::getUser. Do czasu aktualizacji ogranicz dostęp do API JSON-RPC tylko dla zaufanych użytkowników.
Oryginalny opis (angielski, źródło NVD)
Leantime's Users::getUser method in the JSON-RPC API lacks proper authorization checks, allowing authenticated users to retrieve full user credential rows including password hashes, TOTP secrets, and session tokens. Attackers can exploit this by calling users.getUser with arbitrary user IDs to enumerate all accounts and obtain credentials for offline password cracking, 2FA bypass, and session hijacking.