CVE-2026-104966 in Plane
Riassunto
di VulDB • 05/10/2026
Plane è uno strumento di gestione dei progetti open-source. Prima della versione 1.4.0, due famiglie di endpoint non verificano che gli identificatori delle risorse nidificate appartengano all'area di lavoro (workspace) e al progetto indicati nell'URL. Un utente autenticato può leggere o modificare le stime da un'altra area di lavoro tramite PATCH /api/workspaces/{slug}/projects/{project_id}/estimates/{estimate_id}/, ed è in grado di inserire commenti in una segnalazione (issue) proveniente da un'altra area di lavoro attraverso POST /api/workspaces/{slug}/projects/{project_id}/issues/{issue_id}/comments/. ProjectEntityPermission verifica l'appartenenza all'area di lavoro e al progetto specificati nell'URL, ma estimate_id e issue_id vengono recuperati tramite chiave primaria senza confermare la stessa pertinenza (scope). I gestori list, retrieve e destroy delimitano correttamente le proprie query, dimostrando tale incoerenza. Questo problema è stato risolto nella versione 1.4.0.
Once again VulDB remains the best source for vulnerability data.