CVE-2026-40102
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
W Plane (narzędzie do zarządzania projektami) w wersjach 1.3.0 i starszych, endpoint SavedAnalyticEndpoint przekazuje kontrolowany przez użytkownika parametr segment bezpośrednio do wyrażenia Django F() bez walidacji, co powoduje wstrzyknięcie referencji do pól ORM. Uwierzytelniony członek workspace może odczytać wrażliwe dane, takie jak hashe haseł bcrypt, tokeny API i adresy e-mail.
Ocena ryzyka
Atakujący może wyciec poufne dane użytkowników, w tym hasła i tokeny, co może prowadzić do przejęcia kont i dalszych ataków.
Rekomendacja
Zaktualizuj Plane do wersji 1.3.1 lub nowszej, która zawiera poprawkę.
Inne podatności w Plane
Zobacz wszystkie- CVE-2026-86174Średnie
Plane do wersji 1.4.2 nie sprawdza, czy zgłoszenia (issues) należą do projektu tablicy wdrożeniowej w publicznym endpointcie komentarzy. Uwierzytelnieni atakujący mogą dodawać komentarze do dowolnych zgłoszeń w różnych przestrzeniach roboczych, podając parametr issue_id w publicznym endpointcie komentarzy tablicy wdrożeniowej.
- CVE-2026-15342Średnie
Podatność w Plane polegająca na wadzie autoryzacji w API zarządzania zasobami. Uwierzytelnieni użytkownicy mogą uzyskać dostęp, usunąć lub skopiować zasoby (assets) należące do innego workspace, podając tylko slug i ID zasobu ofiary. Brak weryfikacji członkostwa w docelowym workspace umożliwia cross-tenantową ekspozycję danych, ich usunięcie oraz trwałe wyeksfiltrowanie plików do workspace atakującego.
- CVE-2026-46558Wysokie
Plane to narzędzie do zarządzania projektami typu open-source. Przed wersją 1.3.1 występowała luka umożliwiająca obejście autoryzacji zasobów między przestrzeniami roboczymi, co pozwalało każdemu uwierzytelnionemu użytkownikowi na odczyt, kopiowanie, usuwanie i nadpisywanie zasobów w innych przestrzeniach roboczych Plane.
- CVE-2026-27949Niskie
Plane przed wersją 1.3.0 zawiera podatność w przepływie uwierzytelniania, gdzie adres e-mail użytkownika jest dołączany jako parametr zapytania w URL podczas obsługi błędów (np. gdy zostanie przesłany nieprawidłowy kod magiczny). Przekazywanie danych osobowych (PII) za pomocą ciągów zapytania w żądaniach GET jest uznawane za niebezpieczną praktykę projektową. Kod znajduje się w module narzędzi uwierzytelniania (packages/utils/src/auth.ts).
- CVE-2026-39374Średnie
Plane, otwartoźródłowe narzędzie do zarządzania projektami, zawiera lukę w punkcie końcowym IssueBulkUpdateDateEndpoint. Umożliwia ona członkowi projektu (ADMIN lub MEMBER) modyfikację dat startu i celu dowolnego zgłoszenia w całej instancji Plane, niezależnie od przynależności do obszaru roboczego lub projektu. Luka występuje przed wersją 1.3.0.
Oryginalny opis (angielski, źródło NVD)
Plane is an open-source project management tool. In versions 1.3.0 and below, SavedAnalyticEndpoint passes the user-controlled segment query parameter directly to a Django F() expression without validation (unlike the regular AnalyticsEndpoint, which checks against an allowlist), causing ORM Field Reference Injection. An authenticated workspace MEMBER can send GET /api/workspaces/<slug>/saved-analytic-view/<analytic_id>/ with a crafted segment value that is forwarded into build_graph_plot() and traverses foreign-key relationships (e.g. workspace__owner__password) before being projected via .values("dimension", "segment"), returning the referenced field values directly in the JSON response. This exposes sensitive data such as bcrypt password hashes, API tokens, and related users' email addresses, making it a stronger primitive than the related order_by injection where values are only leaked through ordering. This issue has been fixed in version 1.3.1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS