CVE-2026-104963
Təsvir
Plane açıq mənbəli layihə idarəetmə alətidir. 1.4.0 versiyasından əvvəl, WorkspaceCyclesEndpoint vasitəsilə GET /api/workspaces/{slug}/cycles/ və WorkspaceModulesEndpoint vasitəsilə GET /api/workspaces/{slug}/modules/ sorğuları, sorğunu göndərən şəxsin hər bir layihəyə aid olub-olmadığını yoxlamadan iş sahəsindəki bütün layihələrin qeydlərini qaytarır. Yalnız bir layihəyə girişi olan Qonaq (Guest) daxil olmaqla, autentifikasiya olunmuş istənilən iş sahəsi üzvü, gizli layihələrdəki dövrlər (cycles) və modullar üçün adları, təsvirləri, sprint tarixlərini, problem saylarını, tərəqqi nümunələrini (progress snapshots), xarici inteqrasiya ID-lərini, əlaqəli URL-ləri və üzvlərin siyahısını sadalayabilir. Oxşar WorkspaceLabelsEndpoint və WorkspaceStatesEndpoint düzgün project__project_projectmember__member=request.user filtrini tətbiq edir ki, bu da dövr və modul son nöqtələrinin (endpoints) ziddiyyətli şəkildə fərqlənməsinə səbəb olur. Bu problem 1.4.0 versiyasında aradan qaldırılıb.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| makeplane plane | < 1.4.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.