CVE-2026-66416

Leantime JSON-RPC API do wersji 3.9.0 zawiera podatność na brak autoryzacji w dyspozytorze JSON-RPC w pliku app/Domain/Api/Controllers/Jsonrpc.php. Dyspozytor nie egzekwuje autoryzacji przed wywołaniem metod warstwy usług, co pozwala uwierzytelnionemu użytkownikowi na wywoływanie metod lub działanie na zasobach poza ich dozwolonymi uprawnieniami. Na przykład metoda editOwn przyjmuje identyfikator użytkownika podany przez użytkownika bez weryfikacji, czy należy on do wywołującego, co pozwala atakującemu na modyfikację konta innego użytkownika i ustawienie nowego hasła, prowadząc do przejęcia konta. Ta podatność różni się od CVE-2026-59712 i CVE-2026-15509, ponieważ przyczyną źródłową jest brak scentralizowanego egzekwowania autoryzacji w dyspozytorze JSON-RPC, a nie zachowanie pojedynczej wystawionej metody.

Leantime do wersji 3.6.2 udostępnia metody JSON-RPC leantime.rpc.TwoFA.TwoFA.getSetupData, saveSecret, verifyAndEnable i disable2FA, które działają na podanym przez wywołującego parametrze userId bez sprawdzenia własności, przypięcia sesji ani bramki atrybutów uprawnień.

Leantime 3.6.2 zawiera podatność server-side request forgery (SSRF) i lokalnego włączania plików (LFI) w metodzie Blueprints::import(). Uwierzytelnieni atakujący mogą przekazać niesanitowane nazwy plików zawierające wrapper URL lub sekwencje path traversal, co pozwala na odczyt wewnętrznych zasobów, takich jak usługi metadanych chmury lub dowolne pliki z systemu plików serwera.

Leantime 3.6.2 zawiera podatność na otwarte przekierowanie w kontrolerze logowania, która pozwala nieuwierzytelnionym atakującym przekierować uwierzytelnionych użytkowników na dowolne zewnętrzne strony poprzez manipulację parametrem POST redirectUrl, omijając walidację FILTER_SANITIZE_URL.

Leantime 3.6.2 i wcześniejsze zawiera podatność uszkodzonej kontroli dostępu, która pozwala uwierzytelnionym użytkownikom na odczytywanie danych kamieni milowych z projektów, do których nie są przypisani, poprzez podanie dowolnych całkowitych identyfikatorów kamieni milowych do punktu końcowego JSON-RPC tickets.getMilestone. Atakujący mogą enumerować całkowite identyfikatory kamieni milowych przez API JSON-RPC, aby uzyskać dostęp do informacji o planowaniu projektu, tytułów kamieni milowych, opisów i harmonogramów we wszystkich projektach w instancji, niezależnie od członkostwa w projekcie.

W Leantime do wersji 3.8.0 wykryto podatność w funkcji Setting::saveSetting komponentu API. Manipulacja prowadzi do nieprawidłowej autoryzacji, co umożliwia zdalny atak. Exploit został opublikowany i może być wykorzystany.

W Leantime do wersji 3.8.0 wykryto podatność w komponencie JSON-RPC Endpoint. Funkcje editUser/addUser nieprawidłowo autoryzują argument 'role', co umożliwia nieuprawnioną modyfikację uprawnień. Atak może być przeprowadzony zdalnie, a szczegóły exploit'a są publicznie dostępne.

Leantime zawiera podatność CSRF w logowaniu OIDC w metodzie verifyState(), która zawsze zwraca true bez walidacji parametrów stanu. Atakujący może skonstruować złośliwy URL callback z własnym kodem autoryzacyjnym, aby przeprowadzić fiksację sesji i zalogować ofiarę jako atakujący.

Podatność w metodzie Users::getUser API JSON-RPC w Leantime umożliwia uwierzytelnionym użytkownikom pobieranie pełnych rekordów użytkowników, w tym skrótów haseł, sekretów TOTP i tokenów sesji. Brak odpowiednich kontroli autoryzacji pozwala na wyliczenie wszystkich kont i uzyskanie danych uwierzytelniających.