CVE-2026-104975
Təsvir
Plane açıq mənbəli layihə idarəetmə alətidir. Versiya 1.4.0-dan əvvəl, plane/app/views/asset/v2.py faylındakı Plane-in dashboard aktiv endpointləri iki cross-tenant asset IDOR zəifliyi olan CVE-2026-27705 və CVE-2026-46558 üçün düzəldilmişdi. Həmin düzəlişlər həmin fayldakı aktiv endpointlərinə üzvlük yoxlamasını, həmçinin project_id və workspace__slug məhdudiyyətlərini əlavə etmişdi. plane/space/views/asset.py faylındakı Spaces tətbiqi /api/public/ altında əlaqəli public-board əməliyyatlarını təmin edir, lakin burada düzəliş edilməmişdi. Onun EntityAssetEndpoint və AssetRestoreEndpoint komponentləri ictimai anchor vasitəsilə DeployBoard-u müəyyən edir və sonra üzvlük yoxlaması və ya project_id məhdudiyyəti olmadan, yalnız lövhənin workspace-i ilə məhdudlaşdırılmış FileAsset sətirlərini oxuyur və ya dəyişdirir. Buna görə də hücumçu müxtəlif layihələr və workspace-lər arasında aktivləri oxuya, üzərinə yaza və ya bərpa edə bilər. Bu problem 1.4.0 versiyasında düzəldilib.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| makeplane plane | < 1.4.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.