CVE-2026-85990

Nome do Software Vulnerável e Versões Afetadas Leantime versões anteriores a 3.10.0

Description O despachante JSON-RPC em app/Domain/Api/Controllers/Jsonrpc.php expõe métodos de serviço de API públicos porque o PermissionEnforcer::enforce permite métodos que carecem do atributo RequiresPermission. Um usuário autenticado com baixos privilégios pode enviar o cabeçalho X-Requested-With: XMLHttpRequest para chamar o método leantime.rpc.api.api.createApiKeyWithProjects, que aciona Api::createApiKeyWithProjects(), permitindo a criação de uma conta de administrador interativa ao especificar uma função escolhida. Além disso, essa falta de autorização expõe as seguintes funções a usuários autenticados comuns, permitindo o gerenciamento não autorizado de plugins: Plugins::installPlugin(), Plugins::enablePlugin(), Plugins::disablePlugin() e Plugins::removePlugin().

Recommendations Atualizar para a versão 3.10.0.