CVE-2026-104966
Təsvir
Plane açıq mənbəli layihə idarəetmə alətidir. 1.4.0 versiyasından əvvəl iki son nöqtə ailəsi daxili resurs identifikatorlarının URL-də göstərilən iş sahəsinə və layihəyə aid olduğunu yoxlamır. Autentifikasiya olunmuş istifadəçi PATCH /api/workspaces/{slug}/projects/{project_id}/estimates/{estimate_id}/ vasitəsilə başqa bir iş sahəsindən təxminləri oxuya və ya dəyişdirə bilər, həmçinin POST /api/workspaces/{slug}/projects/{project_id}/issues/{issue_id}/comments/ vasitəsilə başqa bir iş sahəsindəki problemə şərhlər əlavə edə bilər. ProjectEntityPermission URL-dəki iş sahəsi və layihədə üzvlüklü olub-olmadığını yoxlayır, lakin estimate_id və issue_id eyni əhatə dairəsi təsdiqlənmədən birbaşa primary key ilə götürülür. Siyahılama (list), əldə etmə (retrieve) və silmə (destroy) idarəediciləri sorğularını düzgün şəkildə məhdudlaşdıraraq bu uyğunsuzluğu nümayiş etdirir. Bu problem 1.4.0 versiyasında aradan qaldırılıb.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| makeplane plane | < 1.4.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.