🟡 CVE-2026-66412: Medium Schwachstelle

„`html

Zusammenfassung

In Leantime Version 3.6.2 und älteren Versionen wurde eine Schwachstelle in der Zugriffskontrolle entdeckt (CVE-2026-66412). Diese ermöglicht authentifizierten Benutzern den unbefugten Zugriff auf Meilensteine von Projekten, denen sie nicht zugewiesen sind. Durch das Ausnutzen des JSON-RPC-Endpoints „tickets.getMilestone“ können Angreifer sensible Projektplanungsdaten einsehen.

Betroffene Systeme

Alle Installationen von Leantime in Version 3.6.2 und älteren Versionen sind betroffen. Die Sicherheitslücke existiert unabhängig von der Bereitstellungsform (On-Premise, Cloud-Instanzen) und erfordert lediglich ein gültiges Benutzerkonto.

Technische Details

Die Vulnerability basiert auf mangelhafter Zugriffsvalidierung im JSON-RPC-API-Handler. Der Endpoint „tickets.getMilestone“ akzeptiert beliebige ganzzahlige Meilenstein-IDs, ohne zu prüfen, ob der anfragende Benutzer Mitglied des zugehörigen Projekts ist. Durch systematisches Durchprobieren (Enumeration) verschiedener Integer-Werte können Angreifer alle Meilensteine der Instanz aufzählen und abrufen, einschließlich:

• Meilensteintitel und Beschreibungen
• Zeitpläne und Deadlines
• Zugehörige Projektinformationen

Dies führt zu einer unbefugten Offenlegung von Projektplanungsinformationen und strategischen Businessintelligenz.

Empfohlene Massnahmen

• Sofortige Maßnahme: Überprüfen Sie Ihre Leantime-Version. Ein Patch steht derzeit nicht zur Verfügung.
• Zugriffskontrolle: Implementieren Sie zusätzliche Netzwerk-Level-Beschränkungen für den JSON-RPC-API-Zugriff.
• Monitoring: Überwachen Sie tickets.getMilestone-API-Aufrufe auf verdächtige Enumerationsmuster.
• Authentifizierung: Beschränken Sie API-Zugriff auf vertrauenswürdige Benutzer.
• Vendor-Updates: Überwachen Sie die Leantime-Entwicklung auf verfügbare Sicherheitspatches.

Bewertung

CVSS-Score: 6.5 (Medium)

Die Schwachstelle erfordert Authentifizierung und führt zu Informationspreisgabe, nicht zu direktem Systemschaden. Dennoch stellt die unbefugte Zugriffnahme auf Projektdaten ein erhebliches Risiko dar, besonders in vertraulichen Umgebungen.

„`