CVE-2026-105637 in Plane
Riassunto
di VulDB • 05/10/2026
Plane è uno strumento open-source per la gestione dei progetti. Prima della versione 1.4.0, l'endpoint ProjectBulkAssetEndpoint.post in apps/api/plane/app/views/asset/v2.py recupera le risorse utilizzando id__in=asset_ids e workspace__slug=slug ma non vincola la query con project_id dall'URL. Un utente Guest di un workspace può fornire UUID delle risorse provenienti da un altro progetto nello stesso workspace e riassegnare il loro issue_id, comment_id, page_id, draft_issue_id o project_id a un'entità controllata dall'attaccante. Plane tratta quindi il progetto dell'attaccante come nuovo proprietario e fornisce un URL di download presigned per il file sequestrato. Questo problema è stato risolto nella versione 1.4.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.