CVE-2026-104960 in Plane
Zusammenfassung
von VulDB • 05.10.2026
Plane ist ein Open-Source-Projektmanagementwerkzeug. Vor Version 1.4.0 stellt Plane den arbeitsbereichsbezogenen Endpunkt GET /api/assets/v2/workspaces/{workspace_slug}/download/{asset_id}/ für projektgebundene FileAsset-Objekte offen, ohne den Zugriff auf das Eigentumsprojekt des Assets durchzusetzen. Ein authentifizierter Benutzer, der derselben Arbeitsgruppe angehört, kein Mitglied des geheimen Projekts des Opfers ist und die UUID des Zielassets kennt, kann eine 302-Umleitung zu einer signierten Download-URL erhalten. Die beabsichtigte projektbezogene Route für dasselbe Asset gibt korrekt einen HTTP-Fehlercode 403 zurück. Bestätigt betroffene projektgebundene Asset-Typen sind ISSUE_ATTACHMENT, COMMENT_DESCRIPTION, PAGE_DESCRIPTION und PROJECT_COVER. Diese Umgehungsmöglichkeit ermöglicht den Zugriff auf private Dateiinhalte, die durch die Grenze des geheimen Projekts geschützt sind. Dieses Problem wurde in Version 1.4.0 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.