CVE-2026-104963

Plane açık kaynaklı bir proje yönetim aracıdır. 1.4.0 sürümünden önce, WorkspaceCyclesEndpoint üzerinden GET /api/workspaces/{slug}/cycles/ ve WorkspaceModulesEndpoint üzerinden GET /api/workspaces/{slug}/modules/ istekleri, isteği yapan kişinin her projeye ait olup olmadığını kontrol etmeden bir çalışma alanındaki tüm projelerin kayıtlarını döndürmektedir. Yalnızca tek bir projeye erişimi olan Konuklar da dahil olmak üzere, kimliği doğrulanmış herhangi bir çalışma alanı üyesi; özel projelerdeki döngüler ve modüller için isimleri, açıklamaları, sprint tarihlerini, sorun sayılarını, ilerleme anlık görüntülerini, harici entegrasyon kimliklerini, bağlantılı URL'leri ve üye listelerini listeleyebilir. Benzer WorkspaceLabelsEndpoint ve WorkspaceStatesEndpoint uç noktaları doğru project__project_projectmember__member=request.user filtresini uygularken, döngü ve modül uç noktaları tutarsız istisnalar oluşturmaktadır. Bu sorun 1.4.0 sürümünde düzeltilmiştir.