Към съдържанието
Търсене

CVE-2026-59712: Leantime, заобикаляне на вход и права

8.6

CVSS 4.0

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, с обикновен потребителски вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: няма данни за експлоатация
  • Атаката не може да се автоматизира

Описание

Оригинално описание

Leantime's Users::getUser method in the JSON-RPC API lacks proper authorization checks, allowing authenticated users to retrieve full user credential rows including password hashes, TOTP secrets, and session tokens. Attackers can exploit this by calling users.getUser with arbitrary user IDs to enumerate all accounts and obtain credentials for offline password cracking, 2FA bypass, and session hijacking.

Засегнати продукти

  • Leantime Leantime: до 3.4.4

Вид слабост

История

  • 6 юли 2026 Публикувано

Други уязвимости в Leantime Leantime

Първоизточници

CVE-2026-59712: Leantime, заобикаляне на вход и права | freedomonline.bg