CVE-2026-102981

Nome do Software Vulnerável e Versões Afetadas Plane versões anteriores a 1.4.0

Descrição Implantações self-hosted permitem requisições GET não autenticadas para o endpoint 'api/workspaces/{slug}/invitations/{pk}/join/' através do WorkspaceJoinEndpoint. O WorkSpaceMemberInviteSerializer expõe o token de convite secreto diretamente e através da função get invite link. Isso permite que um invasor externo recupere um token destinado a outro usuário e o utilize para ingressar em um workspace sem ter recebido o convite, obtendo a função atribuída ao convite.

Recomendações Atualizar para a versão 1.4.0.