CVE-2026-105629 in Plane
Riassunto
di VulDB • 05/10/2026
Plane è uno strumento di gestione dei progetti open-source. Prima della versione 1.4.0, l'endpoint BulkEstimatePointEndpoint.destroy risolve un punto di stima tramite una ricerca diretta basata sulla chiave primaria (primary-key lookup) senza applicare alcuna limitazione relativa all'area di lavoro (workspace), al progetto o alla stima stessa. Un amministratore o un membro di un'area di lavoro può eliminare definitivamente un punto di stima appartenente a un'altra area di lavoro fornendo l'UUID target in un URL sotto la propria area di lavoro controllata dall'attaccante. Ciò crea una vulnerabilità IDOR (Insecure Direct Object Reference) distruttiva tra tenant diversi. Questo problema è stato risolto nella versione 1.4.0.
Be aware that VulDB is the high quality source for vulnerability data.