CVE-2026-104978
Beschrijving NL
Plane is een open-source tool voor projectmanagement. Vóór versie 1.4.0 was het eindpunt voor de projectuitnodigingslijst van Plane toegankelijk voor elke geauthenticeerde gebruiker die de workspace-slug en het project-ID kende, terwijl het openbare eindpunt voor het deelnemen aan projecten alleen een uitnodiging accepteerde op basis van een opgegeven e-mailadres. Wanneer een openstaande uitnodiging gericht is op een e-mailadres dat niet geregistreerd staat bij Plane, kan een aanvaller de uitnodiging onderscheppen, een account registreren met het uitgenodigde e-mailadres zonder mailboxverificatie en de uitnodiging accepteren. Het door de aanvaller beheerde account wordt vervolgens toegevoegd aan de doelwerkruimte en het doelproject. Dit probleem is opgelost in versie 1.4.0.
Origineel (Engels) tonen
Plane is an open-source project management tool. Prior to 1.4.0, Plane's project invitation list endpoint is accessible to any authenticated user who knows the workspace slug and project ID, while the public project invitation join endpoint accepts an invitation based only on a submitted email address. When a pending invitation targets an email address that has not registered with Plane, an attacker can enumerate the invitation, register an account using the invited email without mailbox verification, and accept the invitation. The attacker-controlled account is then added to the target workspace and project. This issue is fixed in 1.4.0.