PT-2026-21941 · Plane · Plane

Q1Uf3Ng · Publicado 2026-02-25 · Atualizado 2026-03-25 · CVE-2026-27705

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas Versões do Plane anteriores a 1.2.2

Descrição O Plane é uma ferramenta de gerenciamento de projetos de código aberto. O método ProjectAssetEndpoint.patch() em apps/api/plane/app/views/asset/v2.py (linhas 579–593) realiza uma busca global de ativos utilizando apenas o ID do ativo (pk) por meio de FileAsset.objects.get(id=pk), sem verificar se o ativo pertence ao workspace e projeto especificados. Isso permite que qualquer usuário autenticado, incluindo aqueles com a função GUEST, modifique os atributos attributes e o status is uploaded de ativos pertencentes a qualquer workspace ou projeto dentro da instância do Plane, adivinhando ou enumerando UUIDs de ativos.

Recomendações Atualize para a versão 1.2.2 ou posterior.

Exploit

Correção

IDOR

Enumeração de Fraquezas

CWE-639

Identificadores relacionados

CVE-2026-27705

GHSA-RFJ3-8C85-G46J

Produtos afetados

Plane

Referências · 11

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/27xxx/CVE-2026-27705.json · Exploit
• https://github.com/makeplane/plane/releases/tag/v1.2.2 · Nota
• https://github.com/makeplane/plane/security/advisories/GHSA-rfj3-8c85-g46j · Aviso do Fabricante
• https://github.com/makeplane/plane/commit/9070acbbe81bc02db5c169789da6862d5fc35d96 · Correção
• https://t.me/cveNotify/153549 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2026-27705 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2026-27705 · Aviso do Fabricante
• https://t.me/CVEtracker/45733 · Publicação no Telegram
• https://twitter.com/q1uf3ng/status/2036824777642655889 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/2026760528966656130 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2027744276998730081 · Publicação no Twitter