CVE-2026-104978

Nome do Software Vulnerável e Versões Afetadas Plane versões anteriores a 1.4.0

Descrição Existe uma falha de bypass de autenticação onde o endpoint de lista de convites de projeto é acessível a qualquer usuário autenticado que possua o slug do workspace e o ID do projeto. Além disso, o endpoint público de adesão a convites de projeto aceita convites baseando-se apenas em um endereço de e-mail enviado. Se um convite pendente for enviado para um e-mail ainda não registrado no sistema, um invasor pode enumerar o convite, registrar uma conta usando esse e-mail sem a verificação da caixa de entrada e aceitar o convite para obter acesso não autorizado ao workspace e projeto alvo.

Recomendações Atualize para a versão 1.4.0.