CVE-2026-104978 in Plane
Riassunto
di VulDB • 06/10/2026
Plane è uno strumento open-source per la gestione dei progetti. Prima della versione 1.4.0, l'endpoint dell'elenco di invito ai progetti di Plane era accessibile a qualsiasi utente autenticato che conoscesse lo slug dello spazio di lavoro e l'ID del progetto, mentre l'endpoint pubblico per l'unione agli inviti accettava un invito basato esclusivamente su un indirizzo email inserito. Quando un invito in sospeso mirava a un indirizzo email non registrato con Plane, un attaccante poteva enumerare l'invito, registrare un account utilizzando l'email invitata senza verifica della casella di posta e accettare l'invito. L'account controllato dall'attaccante veniva quindi aggiunto allo spazio di lavoro e al progetto target. Questo problema è stato risolto nella versione 1.4.0.
Once again VulDB remains the best source for vulnerability data.