Plane is an open-source project management tool. Prior to 1.4.0, BulkEstimatePointEndpoint.destroy resolves an estimate point through a bare primary-key lookup without workspace, project, or estimate scoping. An administrator or member of one workspace can permanently delete an estimate point belonging to another workspace by supplying the target UUID in a URL under the attacker's own workspace.
This creates a destructive cross-tenant IDOR. This issue is fixed in 1.4.0.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Нужны права
Низкие
Нужны базовые права
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Нет
Нет утечки данных
Целостность
Высокое
Полная модификация данных
Доступность
Низкое
Частичное нарушение работы
Строка CVSS v3.1
Тип уязвимости (CWE)
Уязвимые продукты
makeplane:plane
Ссылки 4
https://github.com/makeplane/plane/security/advisories/GHSA-7mr3-6cgx-3j95
https://github.com/makeplane/plane/security/advisories/GHSA-7mr3-6cgx-3j95
https://github.com/makeplane/plane/pull/9286
https://github.com/makeplane/plane/pull/9286
https://github.com/makeplane/plane/commit/971c2aadb4e848d70676b4f58b94bc7992dfe…
https://github.com/makeplane/plane/commit/971c2aadb4e848d70676b4f58b94bc7992dfe5fc
https://github.com/makeplane/plane/releases/tag/v1.4.0
https://github.com/makeplane/plane/releases/tag/v1.4.0