| パッケージ | 影響を受けるバージョン | 修正済みバージョン |
|---|---|---|
| leantime/leantime | < 3.3 | 3.3 |
Leantime allows stored cross-site scripting (XSS) in the API key name while generating the API key.
Any low privileged user like manager, or editor, can create an API key with XSS payload. When admin will visit the Company page, the XSS will automatically get triggerred leading to the unauthorized action performed from the ADMIN account. Like, removing any user, or adding someone else as high privilege, and many more.
これらの製品をお使いですか？サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。
無料でサイトをスキャン