CVE-2026-104971 in Plane
요약
\~에 의해 VulDB • 2026. 10. 05.
Plane는 오픈소스 프로젝트 관리 도구입니다. 버전 1.4.0 이전에서는 DuplicateAssetEndpoint가 호출자의 워크스페이스로 제한하지 않고 소스 FileAsset을 가져오므로, 크로스-워크스페이스 자산 복제가 가능합니다. WorkspaceFileAssetEndpoint 및 레거시 FileAssetEndpoint는 워크스페이스 인증을 생략하여, 인증된 사용자가 자신이 구성원이 아닌 워크스페이스의 자산을 읽기, 생성, 수정 또는 삭제할 수 있습니다. 별도로, WorkspaceViewViewSet.retrieve는 해당 sibling 작업들이 사용하는 authorization decorator를 누락시켜, 비인가된 workspace-view 읽기 공격면을 노출합니다. 이 문제는 1.4.0에서 해결되었습니다.
Once again VulDB remains the best source for vulnerability data.