CVE-2026-104967
Açıklama
Plane açık kaynaklı bir proje yönetim aracıdır. 1.4.0 sürümünden önce, apps/api/plane/app/views/issue/ içerisindeki BulkDeleteIssuesEndpoint ve SubIssuesEndpoint, gövde veya URL üzerinden sağlanan issue ID'lerini kabul etmekte ve bu ID'lerin çağıran kişinin çalışma alanına ve projesine ait olup olmadığını kontrol etmeden işlem yapmaktadır. Her uç noktadaki izin dekoratörü, yalnızca çağıran kişinin URL'de belirtilen çalışma alanı ve projenin üyesi veya yöneticisi olduğunu doğrulamaktadır. BulkDeleteIssuesEndpoint, yabancı issue'lara ait CycleIssue ve ModuleIssue ilişkilendirmelerini yok edebilir. SubIssuesEndpoint, yabancı issue'ları saldırgan tarafından seçilen bir issue altında yeniden üst yapılandırabilir ve yabancı issue'ların meta verilerini döndürebilir. Bu sorun 1.4.0 sürümünde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| makeplane plane | < 1.4.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.