CVE-2026-102986
Beschrijving NL
Plane is een open-source projectbeheertool. In 1.3.1 en eerder vereist EntityAssetEndpoint op het eindpunt van de openbare projectactiva/api/public/assets/v2/anchor/{anchor}/authenticatie voor schrijfbewerkingen, maar verifieert de werkruimte of het projectlidmaatschap niet. Een geverifieerde gebruiker die het openbare DeployBoard.anchor van een gepubliceerd project kent, kan FileAsset-records in dat project maken en bestaande activa zachtjes verwijderen op basis van een identificatie, waardoor bestandsinjectie in meerdere werkruimten, misbruik van opslag en gegevensverlies mogelijk is. Het probleem is opgelost in versie 1.4.0.
Origineel (Engels) tonen
Plane is an open-source project management tool. In 1.3.1 and earlier, EntityAssetEndpoint at the public project asset endpoint /api/public/assets/v2/anchor/{anchor}/ requires authentication for write operations but does not verify workspace or project membership. An authenticated user who knows a published project's public DeployBoard.anchor can create FileAsset records in that project and soft-delete existing assets by identifier, allowing cross-workspace file injection, storage abuse, and data loss. The issue is fixed in version 1.4.0.