CVE-2026-85990

Leantime açık kaynaklı bir proje yönetim sistemidir. 3.10.0 sürümünden önce, geçici olarak gruplandırılmış hesap oluşturma ve eklenti yönetimi yüzeyleri için Leantime'ın app/Domain/Api/Controllers/Jsonrpc.php dosyasındaki JSON-RPC dağıtıcısı genel API servis yöntemlerini açığa çıkarırken, PermissionEnforcer::enforce yöntemi RequiresPermission özniteliği bulunmayan yöntemlara izin vermektedir. Sıradan bir tarayıcı oturumuna sahip düşük yetkili kimliği doğrulanmış bir kullanıcı, gerekli X-Requested-With: XMLHttpRequest başlığını göndererek leantime.rpc.api.api.createApiKeyWithProjects yöntemini çağırabilir; bu işlem Api::createApiKeyWithProjects yöntemine ulaşarak saldırgan tarafından seçilen bir rol ile etkileşimli bir yönetici hesabı oluşturulmasına olanak tanır. Yöntem bazlı yetkilendirmenin eksik olması durumu aynı şekilde Plugins::installPlugin, Plugins::enablePlugin, Plugins::disablePlugin ve Plugins::removePlugin yöntemlerini de sıradan kimliği doğrulanmış kullanıcılara açarak yetkisiz eklenti yönetimine izin verir. Geçici olarak gruplandırılmış bu sorunun tamamı 3.10.0 sürümünde düzeltilmiştir.