CVE-2026-105632 in Plane
Zusammenfassung
von VulDB • 05.10.2026
Plane ist ein Open-Source-Projektmanagementwerkzeug. Vor Version 1.4.0 ermöglicht die GraphQL-Mutation `joinProject` jedem Arbeitsbereichsmitglied, sich selbst zu jedem Projekt in diesem Arbeitsbereich hinzuzufügen, einschließlich Projekten mit network=0 (geheim/privat), zu denen es nie eingeladen wurde, und gewährt ihm eine vollständige Mitgliedrolle (Lese- und Schreibzugriff). Der Resolver überprüft nur die Mitgliedschaft/Rolle auf Ebene des Arbeitsbereichs und prüft niemals die Sichtbarkeit des Zielprojekts (network). Dies bricht die mandantenbezogene Isolierung auf Projektebene innerhalb eines Arbeitsbereichs zusammen: Ein Benutzer mit geringen Berechtigungen kann vertrauliche Daten in jedem privaten Projekt lesen und ändern. Dieses Problem wurde in Version 1.4.0 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.