CVE-2026-27705 in plane
Сводка
по VulDB • 10.05.2026
Plane — это инструмент управления проектами с открытым исходным кодом. До версии 1.2.2 метод `ProjectAssetEndpoint.patch()` в файле `apps/api/plane/app/views/asset/v2.py` (строки 579–593) выполняет глобальный поиск актива, используя только идентификатор актива (`pk`) через `FileAsset.objects.get(id=pk)`, без проверки того, принадлежит ли актив рабочей области и проекту, указанным в пути URL. Это позволяет любому аутентифицированному пользователю (включая тех, у кого есть роль GUEST) изменять атрибуты и статус `is_uploaded` активов, принадлежащих любой рабочей области или проекту во всем экземпляре Plane, путем подбора или перебора UUID активов. Версия 1.2.2 устраняет эту уязвимость.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.