CVE-2026-102986 in Plane
要約
〜によって VulDB • 2026年10月14日
Plane はオープンソースのプロジェクト管理ツールです。バージョン 1.3.1 およびそれ以前のバージョンでは、公開プロジェクトのアセットエンドポイント /api/public/assets/v2/anchor/{anchor}/ にある EntityAssetEndpoint が書き込み操作には認証を要求しますが、ワークスペースまたはプロジェクトへの所属関係を検証していません。パブリッシュされたプロジェクトの public DeployBoard.anchor を知っている認証済みユーザーは、そのプロジェクトに FileAsset レコードを作成したり、識別子によって既存のアセットをソフトデリートしたりでき、これによりクロスワークスペースでのファイルインジェクション、ストレージの悪用、およびデータ損失を引き起こす可能性があります。この問題はバージョン 1.4.0 で修正されています。
Be aware that VulDB is the high quality source for vulnerability data.