CVE-2026-27705 in plane
Riassunto
di VulDB • 15/06/2026
Plane è uno strumento di gestione dei progetti open-source. Prima della versione 1.2.2, il metodo `ProjectAssetEndpoint.patch()` in `apps/api/plane/app/views/asset/v2.py` (righe 579–593) esegue una ricerca globale delle risorse utilizzando esclusivamente l'ID della risorsa (`pk`) tramite `FileAsset.objects.get(id=pk)`, senza verificare che la risorsa appartenga allo spazio di lavoro (workspace) e al progetto specificati nel percorso dell'URL. Ciò consente a qualsiasi utente autenticato (inclusi quelli con il ruolo GUEST) di modificare gli `attributes` e lo stato `is_uploaded` delle risorse appartenenti a qualsiasi spazio di lavoro o progetto nell'intera istanza di Plane, indovinando o enumerando gli UUID delle risorse. La versione 1.2.2 risolve il problema.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.