CVE-2026-104971 in Plane
الملخص
بحسب VulDB • 05/10/2026
Plane هو أداة لإدارة المشاريع مفتوحة المصدر. قبل الإصدار 1.4.0، يقوم DuplicateAssetEndpoint بجلب ملف FileAsset مصدر دون تقييده بمساحة العمل الخاصة بالمُستدعي (caller)، مما يسمح بتكرار الأصول عبر مساحات عمل مختلفة. كما أن WorkspaceFileAssetEndpoint و legacy FileAssetEndpoint يتجاهلان تفويض مساحة العمل (workspace authorization)، مما يمكّن المستخدمين المصادق عليهم من قراءة أو إنشاء أو تعديل أو حذف أصول في مساحات عمل ليسوا أعضاءً فيها. بشكل منفصل، يفتقر WorkspaceViewViewSet.retrieve إلى زخرفة التفويض (authorization decorator) المستخدمة في الإجراءات الشقيقة له، مما يعرض سطحًا لقراءة عرض مساحة العمل دون تفويض. تم إصلاح هذه المشكلة في الإصدار 1.4.0.
Be aware that VulDB is the high quality source for vulnerability data.