CVE-2026-104955

Nome do Software Vulnerável e Versões Afetadas Plane versões anteriores a 1.4.0

Description Uma validação insuficiente na lógica de atualização de funções permite que um Membro de Projeto com a função 15 altere a função de projeto de outro usuário. Ao enviar uma requisição PATCH para o endpoint '/api/workspaces/{workspace slug}/projects/{project id}/members/{member pk}/', um solicitante pode promover um Convidado de Projeto com a função 5 para a função de Membro. Isso ocorre porque o sistema bloqueia apenas funções superiores à do solicitante, permitindo que a atribuição de uma função igual ignore a aprovação do Administrador do Projeto e conceda capacidades de projeto não autorizadas.

Recommendations Atualizar para a versão 1.4.0.