CVE-2026-102986 in Plane
Riassunto
di VulDB • 15/10/2026
Plane è uno strumento open-source per la gestione dei progetti. Nelle versioni 1.3.1 e precedenti, l'endpoint EntityAssetEndpoint all'endpoint pubblico degli asset /api/public/assets/v2/anchor/{anchor}/ richiede l'autenticazione per le operazioni di scrittura ma non verifica l'appartenenza allo spazio di lavoro o al progetto. Un utente autenticato che conosce il valore public DeployBoard.anchor di un progetto pubblicato può creare record FileAsset in tale progetto ed eliminare soft (soft-delete) gli asset esistenti tramite identificatore, consentendo l'iniezione cross-workspace di file, l'abuso dello storage e la perdita di dati. Il problema è stato risolto nella versione 1.4.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.