Plane до 1.4.0: захват владения вложениями задач через отсутствие проверки issue_id (CVE-2026-105633)
В открытой системе управления проектами Plane обнаружена уязвимость высокого уровня (CVSS 7.1), позволяющая участнику проекта присвоить себе чужое вложение задачи. Проблема затрагивает версии ниже 1.4.0 и связана с тем, что сервер игнорирует параметр issue_id при обработке PATCH-запроса. Исправление доступно в релизе 1.4.0.
Подробности
Уязвимость затрагивает версии Plane ниже 1.4.0. Проблема кроется в эндпоинте PATCH для вложений задач V2: он принимает issue_id в URL, однако не использует его в запросе к базе данных. Вместо этого сервер сопоставляет запись только по pk (UUID), workspace и project_id. Из-за этого участник проекта может указать в URL идентификатор задачи, которой он управляет, а в качестве целевого объекта — вложение другого пользователя, определённое по его pk UUID. Поскольку сервер проверяет лишь pk, workspace и project_id, вложение будет изменено независимо от того, какой issue_id передан в URL. Наиболее опасный сценарий возникает, когда вложение находится в статусе pending и ещё не подтверждено как загруженное. В этом случае обработчик PATCH устанавливает created_by = request.user, то есть передаёт владение вложением атакующему. Таким образом, злоумышленник может присвоить чужой файл, привязанный к задаче, не имея на это прав. Тип уязвимости — неправильный контроль доступа (отсутствие проверки области видимости issue_id), что позволяет обойти разграничение прав внутри проекта.Что делать
Основная рекомендация — обновить Plane до версии 1.4.0 или выше, где проблема устранена. Если немедленное обновление невозможно, следует рассмотреть временные меры: ограничить доступ к эндпоинтам работы с вложениями на уровне периметра (например, через обратный прокси), а также усилить мониторинг подозрительной активности вокруг изменения вложений задач. После обновления рекомендуется проверить журналы на предмет несанкционированной смены владельцев вложений, особенно для записей со статусом pending.Итог
CVE-2026-105633 — серьёзная уязвимость разграничения доступа в Plane, позволяющая участнику проекта захватывать чужие вложения задач. Учитывая высокий CVSS (7.1), администраторам стоит приоритизировать обновление до версии 1.4.0. Своевременное исправление исключает риск несанкционированного присвоения файлов и связанных с этим нарушений целостности данных проекта.Источник: CVE Project (cvelistV5)