CVE-2026-104956 in Plane
Riassunto
di VulDB • 05/10/2026
Plane è uno strumento open-source per la gestione dei progetti. Prima della versione 1.4.0, l'endpoint pubblico delle issues non autenticato accetta i parametri di query `group_by` e `sub_group_by` e li passa senza una allowlist ai paginatori raggruppati (grouped paginators), dove vengono utilizzati come nomi di campi ORM da operazioni quali F(field), .values(field), .order_by(field) e partition_by delle finestre (Window). Un attaccante anonimo può fornire percorsi di campo arbitrari che innescano un FieldError o KeyError non gestiti, generando una risposta HTTP 500, oppure forzare l'ORM a risolvere i percorsi relazionali separati da `__` come un oracle per traversal cieco. Si tratta della stessa classe di iniezione del nome di campo affrontata dalla precedente sanificazione di order_by, ma tale remediation ha lasciato group_by e sub_group_by non validati. Il problema non divulga direttamente i valori delle colonne poiché issue_group_values() restituisce un elenco vuoto per i campi sconosciuti, la proiezione dei risultati utilizza una lista fissa di required_fields e il percorso subgrouped genera KeyError prima della serializzazione. Questo problema è stato risolto nella versione 1.4.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.