CVE-2026-15342
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
Podatność w Plane polegająca na wadzie autoryzacji w API zarządzania zasobami. Uwierzytelnieni użytkownicy mogą uzyskać dostęp, usunąć lub skopiować zasoby (assets) należące do innego workspace, podając tylko slug i ID zasobu ofiary. Brak weryfikacji członkostwa w docelowym workspace umożliwia cross-tenantową ekspozycję danych, ich usunięcie oraz trwałe wyeksfiltrowanie plików do workspace atakującego.
Ocena ryzyka
Ryzyko obejmuje nieautoryzowany dostęp do danych innych dzierżawców, ich usunięcie oraz kradzież plików, co może prowadzić do poważnych naruszeń poufności i integralności danych.
Rekomendacja
Należy niezwłocznie zastosować poprawki dostarczone przez producenta Plane oraz przejrzeć konfigurację uprawnień w API.
Inne podatności w Plane
Zobacz wszystkie- CVE-2026-46558Wysokie
Plane to narzędzie do zarządzania projektami typu open-source. Przed wersją 1.3.1 występowała luka umożliwiająca obejście autoryzacji zasobów między przestrzeniami roboczymi, co pozwalało każdemu uwierzytelnionemu użytkownikowi na odczyt, kopiowanie, usuwanie i nadpisywanie zasobów w innych przestrzeniach roboczych Plane.
- CVE-2026-40102Średnie
W Plane (narzędzie do zarządzania projektami) w wersjach 1.3.0 i starszych, endpoint SavedAnalyticEndpoint przekazuje kontrolowany przez użytkownika parametr segment bezpośrednio do wyrażenia Django F() bez walidacji, co powoduje wstrzyknięcie referencji do pól ORM. Uwierzytelniony członek workspace może odczytać wrażliwe dane, takie jak hashe haseł bcrypt, tokeny API i adresy e-mail.
- CVE-2026-27949Niskie
Plane przed wersją 1.3.0 zawiera podatność w przepływie uwierzytelniania, gdzie adres e-mail użytkownika jest dołączany jako parametr zapytania w URL podczas obsługi błędów (np. gdy zostanie przesłany nieprawidłowy kod magiczny). Przekazywanie danych osobowych (PII) za pomocą ciągów zapytania w żądaniach GET jest uznawane za niebezpieczną praktykę projektową. Kod znajduje się w module narzędzi uwierzytelniania (packages/utils/src/auth.ts).
- CVE-2026-39374Średnie
Plane, otwartoźródłowe narzędzie do zarządzania projektami, zawiera lukę w punkcie końcowym IssueBulkUpdateDateEndpoint. Umożliwia ona członkowi projektu (ADMIN lub MEMBER) modyfikację dat startu i celu dowolnego zgłoszenia w całej instancji Plane, niezależnie od przynależności do obszaru roboczego lub projektu. Luka występuje przed wersją 1.3.0.
Oryginalny opis (angielski, źródło NVD)
Plane contains a multi‑tenant authorization flaw in its asset‑management API that allows authenticated users from one workspace to access, delete, or duplicate assets belonging to another workspace by providing only the victim workspace slug and asset ID. The affected endpoints return presigned file URLs and enable destructive or duplicative actions without verifying that the requester is a member of the targeted workspace. This enables cross‑tenant data exposure, data deletion, and persistent exfiltration of files into an attacker‑controlled workspace.