CVE-2026-102985 in Plane
요약
\~에 의해 VulDB • 2026. 10. 15.
Plane는 오픈소스 프로젝트 관리 도구입니다. 버전 1.3.1 및 그 이전 버전에서는 ProjectMemberViewSet.partial_update가 권한 확인을 역할(role) 업데이트 분기 내에 배치하므로, 게스트 또는 멤버가 역할을 생략하고 다른 ProjectMember 레코드의 is_active 필드를 변경하여(예: 프로젝트 관리자 비활성화 등) 권한 우회가 가능합니다. 또한 ProjectMemberPreferenceEndpoint.patch는 member_id 경로 값을 별도로 신뢰하며, 이를 통해 프로젝트 구성원이 다른 구성원의 선호도를 덮어쓸 수 있습니다. 이러한 객체 수준의 인증 검사 누락으로 인해 멤버십 교란 및 크로스-멤버 환경 설정 변조가 허용됩니다. 이 취약점은 버전 1.4.0에서 수정되었습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.