Leantime: Rechteerweiterung zu Administrator über ungeschützte JSON-RPC-Methoden
Zusammenfassung
Leantime, ein Open-Source-System für Projektmanagement, verfügt bei mehreren JSON-RPC-Methoden über keine Berechtigungsprüfung pro Methode. Jeder authentifizierte Benutzer, auch mit reiner Leseberechtigung, kann ein interaktives Administratorkonto mit einer frei gewählten Rolle erstellen sowie Plugins installieren, aktivieren, deaktivieren und entfernen. Ein öffentlicher Proof of Concept wird gemeldet, und NVD bewertet die CVE mit CVSS 8.8.
Betroffen
- Leantime-Versionen vor 3.10.0 (GitHub-Advisory nennt <= 3.9.5)
Behoben in
- Auf Leantime 3.10.0 oder neuer aktualisieren; nach Prüfung der Upgrade-Hinweise sollte die neueste 3.10.x-Version verwendet werden.
Umgehung
- Unbekannt. Es wurde kein Workaround des Herstellers identifiziert.
Ausnutzung
- Ein öffentlicher Proof of Concept wird gemeldet, dessen Verfügbarkeit ist jedoch nicht vollständig verifiziert.
- Es wurde kein Nachweis einer Ausnutzung in freier Wildbahn gefunden; der CISA-KEV-Katalog wurde nicht direkt geprüft.
Unsere Empfehlung
- Leantime prioritär auf 3.10.0 oder neuer aktualisieren.
- Bis zur Aktualisierung die Kontoerstellung einschränken, nicht genutzte Konten entfernen und die Liste der Administratorkonten auf unerwartete Einträge prüfen.
- Installierte Plugins auf unbekannte oder kürzlich geänderte Einträge prüfen.
- Die Exponierung der Instanz prüfen, insbesondere wenn Selbstregistrierung, Gastkonten oder geteilte Konten aktiviert sind.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-54mm-6729-r5wp github.com
- Leantime release v3.10.0 github.com
- Fix commit 5605e5ee github.com
- Fix commit 7ebf7a95 github.com
- OSV entry CVE-2026-85990 osv.dev
- VulDB entry 417787 vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 20:05.
Referenzen der NVD (10)
- https://github.com/Leantime/leantime/commit/5605e5ee86bbd01acb85c6b5d8fb337faf8bcf02
- https://github.com/Leantime/leantime/commit/7ebf7a9517e2aaa05ec15b8130ab1841a4bde43e
- https://github.com/Leantime/leantime/pull/3583
- https://github.com/Leantime/leantime/pull/3797
- https://github.com/Leantime/leantime/releases/tag/v3.10.0
- https://github.com/Leantime/leantime/security/advisories/GHSA-54mm-6729-r5wp
- https://github.com/Leantime/leantime/security/advisories/GHSA-54mm-6729-r5wp
- https://github.com/Leantime/leantime/security/advisories/GHSA-54mm-6729-r5wp
- https://github.com/Leantime/leantime/security/advisories/GHSA-54mm-6729-r5wp
- https://github.com/Leantime/leantime/security/advisories/GHSA-54mm-6729-r5wp
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.