CVE-2026-86174
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
Plane do wersji 1.4.2 nie sprawdza, czy zgłoszenia (issues) należą do projektu tablicy wdrożeniowej w publicznym endpointcie komentarzy. Uwierzytelnieni atakujący mogą dodawać komentarze do dowolnych zgłoszeń w różnych przestrzeniach roboczych, podając parametr issue_id w publicznym endpointcie komentarzy tablicy wdrożeniowej.
Ocena ryzyka
Podatność umożliwia nieautoryzowaną modyfikację zgłoszeń w innych projektach, co może prowadzić do naruszenia integralności danych, wprowadzenia zamieszania lub celowego uszkodzenia informacji. Atak wymaga uwierzytelnienia, ale nie wymaga uprawnień do konkretnego projektu.
Rekomendacja
Zaleca się aktualizację Plane do najnowszej wersji z poprawkami. Należy również przejrzeć mechanizmy autoryzacji dla publicznych endpointów i upewnić się, że sprawdzają przynależność zgłoszeń do projektów.
Inne podatności w Plane
Zobacz wszystkie- CVE-2026-15342Średnie
Podatność w Plane polegająca na wadzie autoryzacji w API zarządzania zasobami. Uwierzytelnieni użytkownicy mogą uzyskać dostęp, usunąć lub skopiować zasoby (assets) należące do innego workspace, podając tylko slug i ID zasobu ofiary. Brak weryfikacji członkostwa w docelowym workspace umożliwia cross-tenantową ekspozycję danych, ich usunięcie oraz trwałe wyeksfiltrowanie plików do workspace atakującego.
- CVE-2026-46558Wysokie
Plane to narzędzie do zarządzania projektami typu open-source. Przed wersją 1.3.1 występowała luka umożliwiająca obejście autoryzacji zasobów między przestrzeniami roboczymi, co pozwalało każdemu uwierzytelnionemu użytkownikowi na odczyt, kopiowanie, usuwanie i nadpisywanie zasobów w innych przestrzeniach roboczych Plane.
- CVE-2026-40102Średnie
W Plane (narzędzie do zarządzania projektami) w wersjach 1.3.0 i starszych, endpoint SavedAnalyticEndpoint przekazuje kontrolowany przez użytkownika parametr segment bezpośrednio do wyrażenia Django F() bez walidacji, co powoduje wstrzyknięcie referencji do pól ORM. Uwierzytelniony członek workspace może odczytać wrażliwe dane, takie jak hashe haseł bcrypt, tokeny API i adresy e-mail.
- CVE-2026-27949Niskie
Plane przed wersją 1.3.0 zawiera podatność w przepływie uwierzytelniania, gdzie adres e-mail użytkownika jest dołączany jako parametr zapytania w URL podczas obsługi błędów (np. gdy zostanie przesłany nieprawidłowy kod magiczny). Przekazywanie danych osobowych (PII) za pomocą ciągów zapytania w żądaniach GET jest uznawane za niebezpieczną praktykę projektową. Kod znajduje się w module narzędzi uwierzytelniania (packages/utils/src/auth.ts).
- CVE-2026-39374Średnie
Plane, otwartoźródłowe narzędzie do zarządzania projektami, zawiera lukę w punkcie końcowym IssueBulkUpdateDateEndpoint. Umożliwia ona członkowi projektu (ADMIN lub MEMBER) modyfikację dat startu i celu dowolnego zgłoszenia w całej instancji Plane, niezależnie od przynależności do obszaru roboczego lub projektu. Luka występuje przed wersją 1.3.0.
Oryginalny opis (angielski, źródło NVD)
Plane through 1.4.2 fails to validate that issues belong to the deploy board's project in the public comment endpoint. Authenticated attackers can post comments to arbitrary issues across workspaces by supplying an issue_id parameter to the public deploy-board comment endpoint.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS