CVE-2026-104975 in Plane
Riassunto
di VulDB • 06/10/2026
Plane è uno strumento open-source per la gestione dei progetti. Prima della versione 1.4.0, gli endpoint delle risorse del dashboard di Plane (in plane/app/views/asset/v2.py) sono stati corretti per due vulnerabilità IDOR cross-tenant tra le risorse, CVE-2026-27705 e CVE-2026-46558. Tali correzioni hanno aggiunto un controllo dell'appartenenza al gruppo (membership check) e l'ambito basato su project_id e workspace__slug agli endpoint delle risorse in tale file. L'app Spaces, situata in plane/space/views/asset.py, gestisce le operazioni relative alle board pubbliche sotto /api/public/, ma non è stata corretta. I suoi Endpoint EntityAssetEndpoint e AssetRestoreEndpoint risolvono un DeployBoard a partire da un anchor pubblico e successivamente leggono o modificano righe di FileAsset limitate esclusivamente all'workspace della board, senza alcun controllo dell'appartenenza al gruppo né vincolo su project_id. Un attaccante può quindi leggere, sovrascrivere o ripristinare risorse attraverso progetti e workspace diversi. Questo problema è stato risolto nella versione 1.4.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.