CVE-2026-27705 in plane
摘要
由 VulDB • 2026-06-07
Plane 是一个开源的项目管理工具。在 1.2.2 版本之前，`apps/api/plane/app/views/asset/v2.py` 文件中的 `ProjectAssetEndpoint.patch()` 方法（第 579–593 行）仅通过资产 ID (`pk`) 使用 `FileAsset.objects.get(id=pk)` 执行全局资产查找，而未验证该资产是否属于 URL 路径中指定的工作区和项目。这允许任何经过身份验证的用户（包括具有 GUEST 角色的用户）通过猜测或枚举资产 UUID，修改整个 Plane 实例中任何工作区或项目所属资产的 `attributes` 和 `is_uploaded` 状态。版本 1.2.2 修复了此问题。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.