CVE-2026-104966

Plane, açık kaynaklı bir proje yönetim aracıdır. 1.4.0 sürümünden önce, iki uç nokta ailesi iç içe geçmiş kaynak tanımlayıcılarının URL'de belirtilen çalışma alanına ve projeye ait olduğunu doğrulamada başarısız olmaktadır. Kimliği doğrulanmış bir kullanıcı, PATCH /api/workspaces/{slug}/projects/{project_id}/estimates/{estimate_id}/ üzerinden başka bir çalışma alanındaki tahminleri okuyabilir veya değiştirebilir ve POST /api/workspaces/{slug}/projects/{project_id}/issues/{issue_id}/comments/ üzerinden başka bir çalışma alanındaki bir soruna yorumlar ekleyebilir. ProjectEntityPermission, URL'deki çalışma alanı ve projeye üyeliği doğrular ancak estimate_id ve issue_id, aynı kapsam onaylanmadan birincil anahtar ile getirilmektedir. Listeleme, getirme ve silme işleyicileri sorgularını doğru şekilde kapsama aldığı için bu tutarsızlık ortaya çıkmaktadır. Bu sorun 1.4.0 sürümünde düzeltilmiştir.