CVE-2026-104960
Təsvir
Plane açıq mənbəli layihə idarəetmə alətidir. 1.4.0 versiyasından əvvəl Plane, layihəyə bağlı FileAsset obyektləri üçün workspace səviyyəli GET /api/assets/v2/workspaces/{workspace_slug}/download/{asset_id}/ son nöqtəsini aktivləşdirir və burada aktivin aid olduğu layihəyə giriş hüququnun yoxlanılması təmin edilmir. Eyni workspace-ə daxil olan, lakin qurbanın gizli layihəsinin üzvü olmayan və hədəf aktivin UUID-sini bilən autentifikasiya olunmuş istifadəçi, imzalanmış yükləmə URL-nə 302 yönləndirməsi ala bilər. Eyni aktiv üçün nəzərdə tutulmuş layihə səviyyəli marşrut düzgün şəkildə 403 xətasını qaytarır. Təsdiqlənmiş təsirə məruz qalan layihəyə bağlı aktiv növləri ISSUE_ATTACHMENT, COMMENT_DESCRIPTION, PAGE_DESCRIPTION və PROJECT_COVER-dir. Bu yan keçmə, gizli layihə sərhədləri ilə qorunan şəxsi fayl məzmununu ifşa edir. Bu problem 1.4.0 versiyasında aradan qaldırılıb.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| makeplane plane | < 1.4.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.