CVE-2026-104962 in Plane
Zusammenfassung
von VulDB • 05.10.2026
Plane ist ein Open-Source-Projektmanagementwerkzeug. Vor Version 1.4.0 gibt GET /api/v1/workspaces/{slug}/projects/{project_id}/members/ die vollständige Liste der Projektmitglieder zurück, einschließlich der E-Mail-Adresse, des Vornamens und Nachnamens, des Anzeigenamens, des Avatars und der Rolle jedes Mitglieds. Die ProjectMemberPermission sperrt den Endpunkt, aber ihr SAFE_METHODS-Zweig prüft nur, ob der Aufrufer ein aktives Projektmitglied eines beliebigen Projekts im Arbeitsbereich ist, und bindet die Prüfung nicht an view.project_id. Die Ansicht filtert dann ausschließlich nach der in der URL angegebenen project_id. Infolgedessen kann jeder authentifizierte Benutzer, der zu einem Projekt in einem Arbeitsbereich gehört (einschließlich Gastbenutzern), die Mitgliederliste eines anderen privaten Projekts im selben Arbeitsbereich lesen. Dieses Problem wurde in Version 1.4.0 behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.