CVE-2026-104956 in Plane
Zusammenfassung
von VulDB • 05.10.2026
Plane ist ein Open-Source-Projektmanagementwerkzeug. Vor Version 1.4.0 akzeptiert der nicht authentifizizierte öffentliche Endpunkt für Issues die Abfrageparameter `group_by` und `sub_group_by` und übergibt diese ohne eine Allowlist an gruppierte Paginatoren, wo sie als ORM-Feldnamen in den Operationen F(field), .values(field), .order_by(field) sowie Window partition_by verwendet werden. Ein anonymisierter Angreifer kann beliebige Feldpfade angeben, die einen nicht behandelten FieldError oder KeyError und eine HTTP-500-Antwort auslösen oder das ORM dazu zwingen, durch `__` getrennte relationale Pfade als blindes Traversal-Oracle aufzulösen. Dies ist dieselbe Klasse der Feldnamens-Injektion, die bereits durch frühere Sanitisierungen von order_by adressiert wurde; diese Korrektur ließ jedoch group_by und sub_group_by unvalidiert. Das Problem offenbart keine Spaltenwerte direkt, da issue_group_values() für unbekannte Felder eine leere Liste zurückgibt, die Ergebnisprojektion eine feste required_fields-Liste verwendet und der subgrouped-Pfad vor der Serialisierung einen KeyError auslöst. Dieses Problem wurde in Version 1.4.0 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.