CVE-2026-27705 in plane
Sumário
de VulDB • 06/06/2026
Plane é uma ferramenta de gerenciamento de projetos de código aberto. Antes da versão 1.2.2, o método `ProjectAssetEndpoint.patch()` em `apps/api/plane/app/views/asset/v2.py` (linhas 579–593) realiza uma busca global de ativos usando apenas o ID do ativo (`pk`) por meio de `FileAsset.objects.get(id=pk)`, sem verificar se o ativo pertence ao espaço de trabalho (workspace) e ao projeto especificados no caminho da URL. Isso permite que qualquer usuário autenticado (incluindo aqueles com a função GUEST) modifique os `attributes` e o status `is_uploaded` de ativos pertencentes a qualquer espaço de trabalho ou projeto em toda a instância do Plane, por meio da adivinhação ou enumeração de UUIDs de ativos. A versão 1.2.2 corrige o problema.
Be aware that VulDB is the high quality source for vulnerability data.