Plane Vulnerable to Cross-Workspace/Cross-Project Asset Modification via IDOR in ProjectAssetEndpoint.patch

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• plane planeдо 1.2.2

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (GitHub_M). Не зависят от анализа CPE в NVD и обычно опережают его.

• makeplane plane

  • < 1.2.2затронута

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2026-30242Plane: SSRF via Incomplete IP Validation in Webhook URL Serializer
  34Наблюдать
• CVE-2026-46558Plane: Cross-workspace asset authorization bypass lets any authenticated user read, copy, delete, and overwrite assets in other Plane workspaces
  33Наблюдать
• CVE-2026-39843Plane has a Server-Side Request Forgery (SSRF) in Favicon Fetching
  30Наблюдать
• CVE-2026-39374Plane IDOR: Cross-Project Issue Date Modification via Bulk Update Endpoint
  30Наблюдать
• CVE-2026-30244Plane: Unauthenticated Workspace Member Information Disclosure
  30Наблюдать
• CVE-2026-27706Plane Vulnerable to Full Read SSRF via Favicon Fetching in "Add Link" Feature
  30Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Эндпоинт получает запись по идентификатору из запроса, но не проверяет, принадлежит ли она запрашивающему пользователю.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1const invoice = await Invoice.findById(req.params.id);2res.json(invoice);

1const invoice = await Invoice.findOne({2  id: req.params.id,3  ownerId: req.user.id,4});5if (!invoice) return res.sendStatus(404);6res.json(invoice);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.

У MITRE нет сопоставления CAPEC/ATT&CK для этого CWE.