CVE-2026-104960 in Plane
Riassunto
di VulDB • 05/10/2026
Plane è uno strumento open-source per la gestione dei progetti. Prima della versione 1.4.0, Plane espone l'endpoint GET /api/assets/v2/workspaces/{workspace_slug}/download/{asset_id}/ a livello di workspace per gli oggetti FileAsset legati al progetto senza imporre il controllo degli accessi al progetto proprietario dell'asset. Un utente autenticato che appartiene allo stesso workspace, non è membro del progetto segreto della vittima e conosce l'UUID dell'asset target può ricevere un redirect 302 verso un URL di download firmato. Il route corretto a livello di progetto per lo stesso asset restituisce correttamente un errore 403 (Forbidden). I tipi di asset legati al progetto confermati come affetti sono ISSUE_ATTACHMENT, COMMENT_DESCRIPTION, PAGE_DESCRIPTION e PROJECT_COVER. Questa bypass espone il contenuto dei file privati protetto dal confine del progetto segreto. Questo problema è stato risolto nella versione 1.4.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.