CVE-2026-27705
Təsvir
Plane açıq mənbəli layihə idarəetmə alətidir. Versiya 1.2.2-dək `apps/api/plane/app/views/asset/v2.py` faylındakı `ProjectAssetEndpoint.patch()` metodu (579–593-cü sətirlər), aktivin (asset) URL yolunda göstərilən iş sahəsinə və layihəyə aid olduğunu yoxlamadan, yalnız aktiv ID-si (`pk`) vasitəsilə `FileAsset.objects.get(id=pk)` istifadə edərək qlobal aktiv axtarışı həyata keçirir. Bu, hər hansı autentifikasiya olunmuş istifadəçiyə (o cümlədən GUEST roluna malik olanlara) aktiv UUID-lərini təxmin etməklə və ya sıralamaqla bütün Plane instansiyasındakı istənilən iş sahəsinə və ya layihəyə aid aktivlərin `attributes` və `is_uploaded` statuslarını dəyişdirməyə imkan verir. Versiya 1.2.2 bu problemi aradan qaldırır.
Necə düzəltmək olar
- plane plane1.2.2 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| plane plane | v < 1.2.2 | 1.2.2 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.