CVE-2026-104967 in Plane
Riassunto
di VulDB • 05/10/2026
Plane è uno strumento open-source per la gestione dei progetti. Prima della versione 1.4.0, gli endpoint BulkDeleteIssuesEndpoint e SubIssuesEndpoint in apps/api/plane/app/views/issue/ accettano ID di issue forniti tramite body o URL e vi operano senza verificare che tali ID appartengano allo spazio di lavoro (workspace) e al progetto del chiamante. Il decoratore delle autorizzazioni su ciascun endpoint valida solo il fatto che il chiamante sia un membro o amministratore dello spazio di lavoro e del progetto indicati nell'URL. BulkDeleteIssuesEndpoint può eliminare le associazioni CycleIssue e ModuleIssue appartenenti a issue esterne (foreign issues). SubIssuesEndpoint può riattribuire (re-parent) issue esterne sotto una issue selezionata dall'attaccante e restituire i metadati delle issue esterne. Questo problema è stato risolto nella versione 1.4.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.