CVE-2026-66416
Leantime : protection CSRF globalement désactivée par l'omission du middleware Laravel VerifyCsrfToken
- Publié
- 30 juil. 2026
- Mise à jour
- 24 sept. 2026
- Attribution de CNA
- VulnCheck
- Preuve observée
- 28 août 2026
CVSS primaire
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:A/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:XFaible · 30 prochains jours
- Percentile
- 16,1 %
- Date du modèle
- 17 oct. 2026
EPSS est une estimation statistique, et non une certitude ou une mesure d'impact. Combinez-le avec CVSS, le statut KEV, l'exposition et votre environnement.
Résumé
# Leantime 3.6.2 — Vulnérabilité de falsification de requête intersites (CSRF) Leantime 3.6.2 contient une vulnérabilité de falsification de requête intersites qui permet à des attaquants non authentifiés d'effectuer des actions modifiant l'état au nom d'utilisateurs authentifiés en excluant le middleware Laravel VerifyCsrfToken de la pile de middleware globale dans `app/Http/Kernel.php`. Les attaquants peuvent concevoir des pages malveillantes diffusées via des e-mails de phishing ou des sites web malveillants pour déclencher des requêtes POST, PUT et DELETE non autorisées qui créent ou suppriment des projets, modifient les paramètres et changent les permissions en tant que n'importe quel utilisateur authentifié.
Sources
- CVE-PoC-HubPoC
🛡️ Hub de preuves de concept CVE — 4 CVE publiées · 5 en cours d'examen (VulnCheck) · lot SuiteCRM retiré
Utilisation responsable
Utilisez les informations de vulnérabilité uniquement sur les systèmes que vous possédez ou que vous êtes autorisé à tester. Kitploit renvoie aux métadonnées de la recherche publique et ne stocke pas de code d'exploitation ni de charges utiles malveillantes.