CVE-2025-69284
Açıklama
Plane, açık kaynaklı bir proje yönetim aracıdır. plane.io üzerinde, konuk bir kullanıcının https[:]//app[.]plane[.]so/[:]slug/settings adresine erişim izni yoktur. Plane sürüm 1.2.0 öncesinde, `/api/workspaces/:slug/members/` uç noktasının konuklar tarafından erişilebilir olması ve katıldıkları belirli bir çalışma alanındaki kullanıcıları listeleyebilmeleri nedeniyle bir sorun oluşmaktadır. Yanıttaki `display_name` aslında e-postanın kullanıcı adı olduğu için, kötü niyetli bir konuk hala yönetici kullanıcıların e-posta adreslerini tespit edebilir. Sürüm 1.2.0 bu sorunu düzeltmektedir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| plane plane | 1.1.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.