CVE-2026-104956

Nome do Software Vulnerável e Versões Afetadas Plane versões anteriores a 1.4.0

Description O endpoint público de problemas não autenticado aceita os parâmetros de consulta group by e sub group by e os passa sem uma lista de permissões para paginadores agrupados. Esses parâmetros são usados como nomes de campo de ORM por F(field), .values(field), .order by(field) e operações Window partition by. Um invasor anônimo pode fornecer caminhos de campo arbitrários para disparar um FieldError ou KeyError não tratado, resultando em uma resposta HTTP 500, ou forçar o ORM a resolver caminhos relacionais separados por como um oráculo de travessia cega. Um oráculo de travessia cega é uma técnica usada para inferir dados observando a resposta da aplicação a consultas específicas.

Recommendations Atualizar para a versão 1.4.0. Evite usar os parâmetros group by e sub group by no endpoint público de problemas até que a atualização seja aplicada.