CVE-2026-104968 in Plane
Zusammenfassung
von VulDB • 05.10.2026
Plane ist ein Open-Source-Projektmanagementwerkzeug. Vor Version 1.4.0 gibt der Endpunkt GET /api/workspaces/{slug}/entity-search/?query_type=user_mention die Anzeigenamen, UUIDs und Avatar-URLs von Workspace-Mitgliedern an jeden authentifizierten Benutzer zurück, der den Workspace-Slug kennt, selbst wenn der Aufrufer kein Mitglied des Workspaces ist. Der Endpunkt gibt unter derselben Bedingung auch ProjectMember-Datensätze preis. Die SearchEndpoint in apps/api/plane/app/views/search/base.py erbt von BaseAPIView und verwendet ausschließlich permission_classes = [IsAuthenticated], ohne eine Prüfung auf Workspace-Mitgliedschaft durchzuführen. Dieses Problem wurde in Version 1.4.0 behoben.
Once again VulDB remains the best source for vulnerability data.