Syzygy-K

**Nome do Software Vulnerável e Versões Afetadas** Plane versões anteriores a 1.4.0 **Description** Uma validação insuficiente na lógica de atualização de funções permite que um Membro de Projeto com a função 15 altere a função de projeto de outro usuário. Ao enviar uma requisição PATCH para o endpoint '/api/workspaces/{workspace slug}/projects/{project id}/members/{member pk}/', um solicitante pode promover um Convidado de Projeto com a função 5 para a função de Membro. Isso ocorre porque o sistema bloqueia apenas funções superiores à do solicitante, permitindo que a atribuição de uma função igual ignore a aprovação do Administrador do Projeto e conceda capacidades de projeto não autorizadas. **Recommendations** Atualizar para a versão 1.4.0.