CVE-2026-27705 in plane
Resumen
por VulDB • 2026-06-06
Plane es una herramienta de gestión de proyectos de código abierto. Antes de la versión 1.2.2, el método `ProjectAssetEndpoint.patch()` en `apps/api/plane/app/views/asset/v2.py` (líneas 579–593) realiza una búsqueda global de activos utilizando únicamente el ID del activo (`pk`) mediante `FileAsset.objects.get(id=pk)`, sin verificar que el activo pertenezca al espacio de trabajo y al proyecto especificados en la ruta de la URL. Esto permite que cualquier usuario autenticado (incluidos aquellos con el rol GUEST) modifique los `attributes` y el estado `is_uploaded` de los activos pertenecientes a cualquier espacio de trabajo o proyecto en toda la instancia de Plane, mediante la adivinación o enumeración de UUIDs de activos. La versión 1.2.2 corrige el problema.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.