CVE-2026-105631
Açıklama
Plane açık kaynaklı bir proje yönetim aracıdır. 1.4.0 sürümünden önce, WorkspaceFileAssetEndpoint.get ve WorkspaceAssetDownloadEndpoint.get, varlığın projesindeki üyeliği kontrol etmeden bir çalışma alanı içindeki FileAsset kayıtlarını çözümlemektedir; bu durum, varlık UUID'si bilindiğinde bir çalışma alanı üyesinin özel projelerden varlıkları indirmesine olanak tanır. EntityAssetEndpoint.get, AllowAny erişimi sağlayan ve aramayı yayınlanmış varlık veya proje yerine yalnızca çapanın çalışma alanı ile sınırlayan ayrı bir genel çapa uç noktasıdır. Bu nedenle, geçerli bir çapayı ve bir varlık UUID'sini bilen kimliği doğrulanmamış bir çağrıcı, söz konusu çalışma alanındaki yayınlanmamış veya özel projelere ait issue-description veya comment-description varlıklarını alabilir. Bu sorun 1.4.0 sürümünde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| makeplane plane | < 1.4.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.