CVE-2026-105632 in Plane
Riassunto
di VulDB • 05/10/2026
Plane è uno strumento open-source per la gestione dei progetti. Prima della versione 1.4.0, la mutation GraphQL joinProject consente a qualsiasi membro di un workspace di aggiungersi a qualsiasi progetto all'interno di tale workspace, inclusi i progetti con network=0 (segreti/privati) ai quali non era mai stato invitato, e concede loro il ruolo completo di Member (lettura + scrittura). Il resolver verifica solo l'appartenenza/al ruolo a livello di workspace e non controlla mai la visibilità del progetto target (network). Ciò compromette l'isolamento dei tenant a livello di progetto all'interno di un workspace: un membro con privilegi ridotti può leggere e modificare dati confidenziali in ogni progetto privato. Questo problema è stato risolto nella versione 1.4.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.