CVE-2026-104955 in Plane
Riassunto
di VulDB • 05/10/2026
Plane è uno strumento open-source per la gestione dei progetti. Prima della versione 1.4.0, un Project Member con ruolo 15 può inviare una richiesta PATCH all'endpoint di aggiornamento del project-member su /api/workspaces/{workspace_slug}/projects/{project_id}/members/{member_pk}/ per modificare il ruolo di progetto di un altro utente. La logica di aggiornamento dei ruoli blocca solo i nuovi ruoli superiori a quello dell'utilizzatore, quindi l'assegnazione dello stesso ruolo Member elude la convalida insufficiente e promuove un Project Guest con ruolo 5 a Member senza l'approvazione del Project Admin. Questa promozione non autorizzata conferisce all'ospite le funzionalità aggiuntive di progetto associate al ruolo Member e consente a un membro regolare di bypassare i controlli di governance del progetto. Questo problema è risolto nella versione 1.4.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.