CVE-2026-105628
Təsvir
Plane açıq mənbəli layihə idarəetmə alətidir. 1.4.0 versiyasından əvvəl Plane-in OAuth avatar sinxronizasiyası axını, daxili IP təsdiqləməsi olmadan server tərəfli HTTP sorğusu vasitəsilə provayder istifadəçi məlumatlarından avatar_url-i götürür və standart olaraq yönləndirmələri izləyir. Hücumçu, metadata son nöqtəsi kimi yalnız daxili resursa yönləndirən avatar URL-i təqdim edə bilər və Plane əldə edilən cavabı istifadəçi avatar faylı kimi yükləyir. Daha sonra obyekt /api/assets/v2/static/{asset_id}/ vasitəsilə əlçatan olur ki, bu da daxildən əldə edilmiş məzmunun sızdırılmasına imkan verir. Bu problem 1.4.0 versiyasında düzəldilib.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| makeplane plane | < 1.4.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.