CVE-2026-104971

Nome do Software Vulnerável e Versões Afetadas Plane versões anteriores a 1.4.0

Descrição Uma falha de autorização permite que usuários autenticados realizem ações não autorizadas entre diferentes workspaces. O 'DuplicateAssetEndpoint' busca um FileAsset de origem sem restringi-lo ao workspace do solicitante, permitindo a duplicação de ativos entre workspaces. Além disso, o 'WorkspaceFileAssetEndpoint' e o 'FileAssetEndpoint' legado omitem a autorização de workspace, permitindo que usuários leiam, criem, modifiquem ou excluam ativos em workspaces dos quais não são membros. Adicionalmente, a função retrieve no 'WorkspaceViewViewSet' carece do decorador de autorização utilizado em suas ações correlatas, expondo uma superfície de leitura não autorizada para visualizações de workspace.

Recomendações Atualizar para a versão 1.4.0.