CVE-2026-39374
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
Plane, otwartoźródłowe narzędzie do zarządzania projektami, zawiera lukę w punkcie końcowym IssueBulkUpdateDateEndpoint. Umożliwia ona członkowi projektu (ADMIN lub MEMBER) modyfikację dat startu i celu dowolnego zgłoszenia w całej instancji Plane, niezależnie od przynależności do obszaru roboczego lub projektu. Luka występuje przed wersją 1.3.0.
Ocena ryzyka
Atakujący może nieautoryzowanie modyfikować daty zgłoszeń w innych projektach, co może prowadzić do naruszenia integralności danych i zakłócenia procesów zarządzania projektami.
Rekomendacja
Zaleca się aktualizację Plane do wersji 1.3.0 lub nowszej, która zawiera poprawkę.
Oryginalny opis (angielski, źródło NVD)
Plane is an an open-source project management tool. Prior to 1.3.0, the IssueBulkUpdateDateEndpoint allows a project member (ADMIN or MEMBER) to modify the start_date and target_date of ANY issue across the entire Plane instance, regardless of workspace or project membership. The endpoint fetches issues by ID without filtering by workspace or project, enabling cross-boundary data modification. This vulnerability is fixed in 1.3.0.