CVE-2026-102985
Beschrijving NL
Plane is een open-source projectbeheertool. In 1.3.1 en eerder plaatst ProjectMemberViewSet.partial_update zijn autorisatiecontroles binnen de rolupdatetak, zodat een gast of lid de rol kan weglaten en het is_active-veld van een ander projectlid kan wijzigen, inclusief het deactiveren van een projectbeheerder. ProjectMemberPreferenceEndpoint.patch vertrouwt afzonderlijk de waarde van het member_id-pad en laat een projectlid de voorkeuren van een ander lid overschrijven. Deze ontbrekende autorisatiecontroles op objectniveau maken onderbreking van het lidmaatschap en manipulatie van de voorkeur van meerdere leden mogelijk. De kwetsbaarheid is opgelost in 1.4.0.
Origineel (Engels) tonen
Plane is an open-source project management tool. In 1.3.1 and earlier, ProjectMemberViewSet.partial_update places its authorization checks inside the role update branch, so a guest or member can omit role and change another ProjectMember record's is_active field, including deactivating a project administrator. ProjectMemberPreferenceEndpoint.patch separately trusts the member_id path value and lets a project member overwrite another member's preferences. These missing object-level authorization checks permit membership disruption and cross-member preference tampering. The vulnerability is fixed in 1.4.0.