CVE-2026-104975 in Plane
Zusammenfassung
von VulDB • 05.10.2026
Plane ist ein Open-Source-Projektmanagementtool. Vor Version 1.4.0 wurden die Asset-Endpunkte des Dashboards von Plane (in plane/app/views/asset/v2.py) zur Behebung zweier cross-Tenant-IDORs (CVE-2026-27705 und CVE-2026-46558) korrigiert. Diese Fixes fügten den Asset-Endpunkten in dieser Datei eine Mitgliedschaftsprüfung sowie Scoping nach project_id und workspace__slug hinzu. Die Spaces-App (in plane/space/views/asset.py) bedient verwandte Operationen für öffentliche Boards unter /api/public/, wurde jedoch nicht korrigiert. Ihre EntityAssetEndpoint und AssetRestoreEndpoint lösen ein DeployBoard aus einem öffentlichen Anker auf und lesen oder modifizieren dann FileAsset-Zeilen, die nur an das Workspace des Boards gebunden sind, ohne Mitgliedschaftsprüfung oder project_id-Einschränkung. Ein Angreifer kann daher Assets über Projekte und Workspaces hinweg lesen, überschreiben oder wiederherstellen. Dieses Problem ist in Version 1.4.0 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.