CVE-2026-104963 in Plane
Zusammenfassung
von VulDB • 05.10.2026
Plane ist ein Open-Source-Projektmanagementwerkzeug. Vor Version 1.4.0 geben die Endpunkte GET /api/workspaces/{slug}/cycles/ über WorkspaceCyclesEndpoint und GET /api/workspaces/{slug}/modules/ über WorkspaceModulesEndpoint Datensätze aus jedem Projekt in einem Arbeitsbereich zurück, ohne zu prüfen, ob der Anfragende Mitglied jedes einzelnen Projekts ist. Jedes authentifizierte Mitglied des Arbeitsbereichs, einschließlich eines Gasts mit Zugriff auf nur ein einzelnes Projekt, kann Namen, Beschreibungen, Sprint-Daten, Anzahl der Issues, Fortschritts-Snapshots, IDs externer Integrationen, verknüpfte URLs und Mitgliederlisten für Zyklen (Cycles) und Module in privaten Projekten auflisten. Die verwandten Endpunkte WorkspaceLabelsEndpoint und WorkspaceStatesEndpoint wenden den korrekten Filter project__project_projectmember__member=request.user an, wodurch die Endpoints für Zyklen und Module zu inkonsistenten Ausreißern werden. Dieses Problem wurde in Version 1.4.0 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.