Leantime through 3.6.2 exposes the JSON-RPC methods leantime…(CVE-2026-54418・CVSS 8.1)

概要

Leantime through 3.6.2 exposes the JSON-RPC methods leantime.rpc.TwoFA.TwoFA.getSetupData,...

原文の説明

取得元が公開している説明をそのまま載せています (多くは英語)。

Leantime through 3.6.2 exposes the JSON-RPC methods leantime.rpc.TwoFA.TwoFA.getSetupData, saveSecret, verifyAndEnable, and disable2FA, which act on a caller-supplied userId parameter with no ownership check, session pinning, or permission-attribute gate (unlike other RPC-exposed methods in the same dispatcher). Any authenticated user can invoke getSetupData with an arbitrary userId to read that user's live TOTP secret, or disable2FA to strip another account's two-factor authentication entirely, fully defeating account-level 2FA protection. This is related to CVE-2026-15509, which covers a similar missing-authorization pattern in the JSON-RPC editUser/addUser role-assignment path in the same application; the TwoFA service methods addressed here are a distinct, independently fixable set of RPC endpoints.

出典: NIST National Vulnerability Database NVD GitHub Advisory

AI要約

外部の AI が作成した要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。

Leantimeのバージョン3.6.2までのシステムでは、所有者確認なしに任意のユーザーIDを指定してJSON-RPCメソッドが操作できます。これにより、任意のユーザーの2要素認証を解除したり、TOTP秘密を読み取ることができます。この欠陥により、2FA保護が無効となる可能性があります。

❓ 何が問題か

所有者確認なしにJSON-RPCメソッドの操作が可能な脆弱性。

📍 影響範囲

Leantime 3.6.2までのバージョン。

🔥 重要度

任意のユーザーの2FAを無効化できるため、アカウント保護が完全に無効化される。

🔧 修正方法

JSON-RPCメソッドに所有者確認と権限属性ゲートを追加する。

🛡️ 暫定回避

現時点では情報なし。

🔍 検知方法

認証ユーザーが無効な2FA操作を行った痕跡をログで確認する。