CVE-2026-105635 in Plane
Riassunto
di VulDB • 05/10/2026
Plane è uno strumento open-source per la gestione dei progetti. Prima della versione 1.4.0, l'endpoint ProjectJoinEndpoint su GET /api/workspaces/{slug}/projects/{project_id}/join/{pk}/ utilizza permission_classes = [AllowAny] e restituisce all'interno di chiamate non autenticate l'intero record ProjectMemberInvite, inclusi email, token e ruolo. L'endpoint POST corrispondente verifica solo se l'email inviata corrisponde a project_invite.email e non convalida il token dell'invito. Un attaccante che conosce l'UUID dell'invito può scoprire l'email invitata, registrare un account utilizzando tale indirizzo email ed accettare l'invito senza aver ricevuto la comunicazione originale di invito. Questo problema è stato risolto nella versione 1.4.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.