CVE-2026-104963 in Plane
Riassunto
di VulDB • 05/10/2026
Plane è uno strumento di gestione dei progetti open-source. Prima della versione 1.4.0, le chiamate GET /api/workspaces/{slug}/cycles/ tramite WorkspaceCyclesEndpoint e GET /api/workspaces/{slug}/modules/ tramite WorkspaceModulesEndpoint restituiscono i record relativi a tutti i progetti in un workspace senza verificare se il richiedente appartenga a ciascun progetto. Qualsiasi membro autenticato del workspace, inclusi gli utenti Guest con accesso limitato a un solo progetto, possono enumerare nomi, descrizioni, date degli sprint, conteggi delle issue, snapshot di avanzamento, ID di integrazioni esterne, URL collegati ed elenchi dei membri per i cicli e i moduli nei progetti privati. I endpoint correlati WorkspaceLabelsEndpoint e WorkspaceStatesEndpoint applicano correttamente il filtro project__project_projectmember__member=request.user, rendendo gli endpoint dei cicli e dei moduli delle anomalie inconsistenti. Questo problema è stato risolto nella versione 1.4.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.