30秒で判断
- 対応すべき人: Leantime（プロジェクト管理ツール）3.9.0 以前を運用しており、複数ユーザが利用している環境
- 対応不要な人: Leantime を使用していない、または修正版へ更新済みの環境
- 確認コマンド: Leantime の管理画面またはインストールディレクトリでバージョンを確認（3.9.0 以前が対象）
概要
Leantime の JSON-RPC API（3.9.0 以前）に、認可欠落の脆弱性（CVSS 8.8）が見つかりました。
JSON-RPC ディスパッチャ（app/Domain/Api/Controllers/Jsonrpc.php）がサービス層メソッドの呼び出し前に認可を強制していないため、認証済みユーザが本来の権限を越えてメソッドを実行できます。例えば editOwn メソッドが呼び出し元のものか検証せずにユーザ ID を受け付けるため、他ユーザのアカウントを変更してパスワードを再設定し、アカウント乗っ取りに至る可能性があります。
この問題は個別メソッドの挙動ではなく、ディスパッチャに集中的な認可強制がないことが根本原因である点で CVE-2026-59712 / CVE-2026-15509 とは区別されます。つまり単一メソッドの修正では不十分で、ディスパッチャ層でのアクセス制御が必要になります。攻撃には認証済みアカウントが1つあれば足り、一般メンバー権限からでも管理者を含む他ユーザの乗っ取りが可能になり得るため、複数ユーザで運用している環境では影響が大きくなります。社内向けであってもアカウントを広く配布している場合は注意が必要です。
CVSSベクトル
| 指標 | 値 |
|---|---|
| Attack Vector | Network |
| Attack Complexity | Low |
| Privileges Required | Low |
| CVSSスコア | 8.8 (High) |
影響を受けるソフトウェア
| 製品 | バージョン |
|---|---|
| Leantime | 3.9.0 以前 |
修正バージョンと回避策
- 対策: Leantime の修正版へアップデート
- 暫定対策: JSON-RPC API のエンドポイントへのアクセスを信頼できる範囲に制限する
関連リンク
データソース: NVD (NIST) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。