CVE-2026-105637: IDOR no endpoint de ativos em lote do Plane permite reatribuição de propriedade
O Plane, ferramenta de gerenciamento de projetos de código aberto, é afetado por uma referência direta insegura a objeto em seu endpoint de ativos em lote, conforme descrito no registro. Segundo a descrição, um Guest do workspace pode reatribuir ativos de outro projeto e obter uma URL de download pré-assinada, e a correção está na versão 1.4.0. O GitHub classifica o problema como crítico, com nota CVSS 3.1 de 9.6, e nenhuma exploração confirmada aparece nas fontes consultadas.
Visão geral
Este registro descreve uma referência direta insegura a objeto (IDOR) no tratamento de operações em lote de ativos do Plane, uma ferramenta de gerenciamento de projetos de código aberto. Segundo a descrição, o endpoint afetado não restringe a busca de ativos ao projeto indicado na URL da requisição, fraqueza classificada como CWE-639.
Impacto
- Segundo a descrição do CNA, um Guest do workspace poderia reatribuir ativos de outro projeto a uma entidade sob seu controle.
- O resultado descrito inclui a emissão, pelo Plane, de uma URL de download pré-assinada para o arquivo reatribuído.
- O vetor CVSS 3.1 publicado pelo GitHub classifica os impactos de confidencialidade e integridade como altos e o de disponibilidade como nulo, com nota 9.6 (crítica).
Produtos e versões afetados
- Produto: Plane (makeplane/plane), conforme os links de referência do aviso presentes no registro.
- Versões descritas como afetadas: anteriores à 1.4.0, segundo a descrição.
- A lista estruturada de versões afetadas no registro está vazia, então a faixa exata deve ser confirmada no aviso.
- A correção é indicada para a 1.4.0, segundo a descrição.
Status de exploração
- O catálogo KEV da CISA não lista este CVE no registro.
- Nenhuma exploração confirmada aparece nas fontes consultadas.
- A estimativa EPSS no registro é de 0.00319 (percentil 0.23107), datada de 2026-10-13.
Correção e mitigação
- Atualizar o Plane para a versão 1.4.0 ou posterior, conforme indica a descrição.
- Revisar quais contas têm o papel de Guest em cada workspace e limitá-las ao necessário, reduzindo quem pode alcançar este caminho.
- Revisar alterações de propriedade de ativos nos workspaces em busca de vínculos com projetos ou entidades inesperados.
Orientação de detecção
- Monitorar logs de auditoria ou da aplicação, quando disponíveis, para alterações de propriedade de ativos entre projetos do mesmo workspace.
- Observar URLs de download pré-assinadas geradas para ativos que pertencem a outros projetos.
- Correlacionar esses eventos com contas de nível Guest que apresentem atividade incomum.
Limitações das informações disponíveis
- O registro traz listas de versões afetadas e corrigidas vazias, por isso as faixas dependem da descrição textual.
- O registro indica status de fonte Deferred, e o motivo não é informado.
- Detalhes de prova de conceito ou de reprodução não são incluídos de propósito.
- A orientação de detecção é geral, e os formatos de log dependem de cada implantação.
Perguntas frequentes
Quais versões do Plane são afetadas pelo CVE-2026-105637?
A descrição indica que versões anteriores à 1.4.0 são afetadas. A lista estruturada de versões afetadas no registro está vazia, então a faixa exata deve ser confirmada no aviso.
Esta vulnerabilidade está sendo explorada ativamente?
O registro não lista este CVE no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas. A estimativa EPSS é de 0.00319 em 2026-10-13.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.