CVE-2026-104975
Açıklama
Plane, açık kaynaklı bir proje yönetim aracıdır. 1.4.0 sürümünden önce, Plane'in plane/app/views/asset/v2.py dosyasındaki dashboard varlık uç noktaları, iki farklı kiracılar arası varlık IDOR zafiyeti olan CVE-2026-27705 ve CVE-2026-46558 için düzeltilmişti. Bu düzeltmeler, söz konusu dosyadaki varlık uç noktalarına üyelik kontrolü ile project_id ve workspace__slug kapsamlandırması eklemişti. plane/space/views/asset.py içindeki Spaces uygulaması, /api/public/ altında ilgili genel tahta işlemlerini sunmaktaydı ancak düzeltilmemişti. Buradaki EntityAssetEndpoint ve AssetRestoreEndpoint, genel bir çapa üzerinden DeployBoard çözümlemesi yapmakta ve ardından herhangi bir üyelik kontrolü veya project_id kısıtlaması olmaksızın, yalnızca tahtanın çalışma alanı ile kapsamlandırılmış FileAsset satırlarını okumakta veya değiştirmektedir. Bu nedenle bir saldırgan; projeler ve çalışma alanları arasında varlıkları okuyabilir, üzerine yazabilir veya geri yükleyebilir. Bu sorun 1.4.0 sürümünde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| makeplane plane | < 1.4.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.