CVE-2026-104963 in Plane
요약
\~에 의해 VulDB • 2026. 10. 05.
Plane는 오픈소스 프로젝트 관리 도구입니다. 버전 1.4.0 이전에는 WorkspaceCyclesEndpoint를 통한 GET /api/workspaces/{slug}/cycles/ 및 WorkspaceModulesEndpoint를 통한 GET /api/workspaces/{slug}/modules/ 엔드포인트가 요청자가 각 프로젝트의 구성원인지 여부를 확인하지 않고 워크스페이스 내 모든 프로젝트의 레코드를 반환합니다. 하나의 프로젝트에만 접근 권한이 있는 Guest를 포함한 인증된 워크스페이스 멤버는 비공개 프로젝트에 대한 사이클 및 모듈의 이름, 설명, 스프린트 날짜, 이슈 수, 진행률 스냅샷, 외부 통합 ID, 연결된 URL 및 구성원 목록을 열거할 수 있습니다. 유사한 WorkspaceLabelsEndpoint와 WorkspaceStatesEndpoint는 올바른 project__project_projectmember__member=request.user 필터를 적용하여 사이클 및 모듈 엔드포인트가 일관성 없는 예외 사례로 남습니다. 이 문제는 1.4.0에서 수정되었습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.