Plane is an open-source project management tool. In 1.3.1 and earlier, EntityAssetEndpoint at the public project asset endpoint /api/public/assets/v2/anchor/{anchor}/ requires authentication for write operations but does not verify workspace or project membership. An authenticated user who knows a published project's public DeployBoard.anchor can create FileAsset records in that project and soft-delete existing assets by identifier, allowing cross-workspace file injection, storage abuse, and data loss.
The issue is fixed in version 1.4.0.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Нужны права
Низкие
Нужны базовые права
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Нет
Нет утечки данных
Целостность
Высокое
Полная модификация данных
Доступность
Высокое
Полный отказ в обслуживании
Строка CVSS v3.1
Тип уязвимости (CWE)
Ссылки 4
https://github.com/makeplane/plane/commit/4577dc3f7a6b5a198602b602a45c6b0abdc72…
security-advisories@github.com
https://github.com/makeplane/plane/pull/9288
security-advisories@github.com
https://github.com/makeplane/plane/releases/tag/v1.4.0
security-advisories@github.com
https://github.com/makeplane/plane/security/advisories/GHSA-8688-h9x2-v83m
security-advisories@github.com