CVE-2026-66412

Nome do Software Vulnerável e Versões Afetadas Leantime versões anteriores a 3.6.3

Description Usuários autenticados podem acessar dados de marcos (milestones) de projetos aos quais não estão atribuídos. Isso é possível ao fornecer IDs de marcos inteiros arbitrários para o endpoint JSON-RPC 'tickets.getMilestone'. Um invasor pode enumerar esses IDs via API JSON-RPC para recuperar informações de planejamento de projeto, títulos de marcos, descrições e cronogramas de todos os projetos na instância, ignorando as restrições de associação ao projeto.

Recommendations Atualize o Leantime para a versão 3.6.3 ou posterior. Como mitigação temporária, restrinja o acesso ao endpoint JSON-RPC 'tickets.getMilestone'.