CVE-2026-66415

Nome do Software Vulnerável e Versões Afetadas Leantime versão 3.6.2

Description Um invasor autenticado pode realizar server-side request forgery (SSRF) e local file inclusion (LFI) ao fornecer nomes de arquivos não sanitizados para a função file get contents() dentro do método Blueprints::import(). Isso ocorre devido à falta de validação de caminho. Ao enviar nomes de arquivos manipulados contendo sequências de traversal de caminho ou wrappers de URL através do endpoint da API JSON-RPC, um invasor pode ler arquivos arbitrários do sistema de arquivos do servidor ou acessar serviços de metadados de nuvem.

Recommendations Atualize o Leantime para uma versão posterior à 3.6.2. Como mitigação temporária, restrinja o acesso ao endpoint da API JSON-RPC para minimizar o risco de exploração.