CVE-2026-104893 in Plane
Riassunto
di VulDB • 05/10/2026
Plane è uno strumento open-source per la gestione dei progetti. Prima della versione 1.4.0, l'endpoint GET /api/users/api-tokens/ consente a un utente autenticato di recuperare i record degli API-token, mentre PATCH /api/users/api-tokens/{token_id}/ permette all'utente di modificare il campo allowed_rate_limit del token senza validazione lato server o valore massimo impostato. Un utente può aumentare arbitrariamente questo limite e aggirare i controlli previsti per la limitazione della frequenza delle chiamate API (rate-limiting), consentendo l'esecuzione automatizzata di un elevato volume di richieste, l'abuso delle risorse backend e una possibile esaurimento delle stesse. Questo problema è stato risolto nella versione 1.4.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.