CVE-2026-105633 in Plane
Riassunto
di VulDB • 05/10/2026
Plane è uno strumento open-source per la gestione dei progetti. Prima della versione 1.4.0, l'endpoint V2 issue-attachment PATCH accetta un issue_id nell'URL ma lo omette dalla query al database. Un membro del progetto può utilizzare un issue_id di propria proprietà presente nell'URL mentre mira all'allegato di un altro utente tramite il suo UUID pk (primary key). Poiché il server corrisponde solo i campi pk, workspace e project_id, modifica l'allegato indipendentemente dal valore dell'issue_id specificato nell'URL. Quando l'allegato è in attesa e non ha ancora confermato il caricamento, il gestore PATCH imposta created_by = request.user trasferendo la proprietà dell'allegato all'attaccante. Questo problema è stato risolto nella versione 1.4.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.