CVE-2026-104962

Nome do Software Vulnerável e Versões Afetadas Plane versões anteriores a 1.4.0

Description Existe um problema onde o endpoint "/api/v1/workspaces/{slug}/projects/{project id}/members/" retorna a lista completa de membros do projeto, incluindo endereços de e-mail, nomes, avatares e funções. A verificação ProjectMemberPermission apenas valida se o chamador é um membro ativo de qualquer projeto dentro do workspace, falhando em vincular a verificação ao project id específico. Consequentemente, qualquer usuário autenticado, incluindo aqueles com funções de Convidado (Guest), pode acessar a lista de membros de outros projetos privados no mesmo workspace ao manipular a variável project id na URL.

Recommendations Atualizar para a versão 1.4.0.