CVE-2026-104955
Açıklama
Plane açık kaynaklı bir proje yönetim aracıdır. 1.4.0 sürümünden önce, rolü 15 olan bir Project Member, başka bir kullanıcının proje rolünü değiştirmek için /api/workspaces/{workspace_slug}/projects/{project_id}/members/{member_pk}/ adresindeki project-member güncelleme uç noktasına bir PATCH isteği gönderebilir. Rol güncelleme mantığı yalnızca istek yapanın rolünden daha yüksek bir yeni rolü engellediğinden, eşit olan Member rolünün atanması yetersiz doğrulamayı atlatır ve rolü 5 olan bir Project Guest'in Project Admin onayı olmadan Member seviyesine yükseltilmesini sağlar. Bu yetkisiz yükseltme, konuğa Member rolüyle ilişkili ek proje yetenekleri verir ve normal bir üyenin proje yönetişim kontrollerini atlatmasına izin verir. Bu sorun 1.4.0 sürümünde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| makeplane plane | < 1.4.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.