CVE-2026-104956
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Plane to narzędzie do zarządzania projektami typu open source. W wersji wcześniejszej niż 1.4.0 nieuwierzytelniony punkt końcowy problemów publicznych akceptuje parametry zapytania group_by i sub_group_by i przekazuje je bez listy dozwolonych do zgrupowanych paginatorów, gdzie są one używane jako nazwy pól ORM za pomocą operacji F(pole), .values(pole), .order_by(pole) i Window package_by. Anonimowy atakujący może dostarczyć dowolne ścieżki pól, które wyzwalają nieobsługiwany błąd FieldError lub KeyError oraz odpowiedź HTTP 500, albo zmusić ORM do rozpoznania oddzielonych __ relacyjnych ścieżek jako wyroczni ślepego przejścia. Jest to ta sama klasa wstrzykiwania nazwy pola, którą rozwiązano podczas wcześniejszego oczyszczania Order_by, ale to naprawienie pozostawiło group_by i sub_group_by niezweryfikowane. Problem nie ujawnia bezpośrednio wartości kolumn, ponieważ funkcja Issue_group_values() zwraca pustą listę dla nieznanych pól, projekcja wyników wykorzystuje stałą listę wymaganych_pól, a ścieżka podgrupy zgłasza błąd KeyError przed serializacją. Ten problem został rozwiązany w wersji 1.4.0.
>_ Słabości (CWE)
>_ Referencje
- https://github.com/makeplane/plane/commit/d3d3de44cf13991025783c598d8b34229fb47729
- https://github.com/makeplane/plane/pull/9347
- https://github.com/makeplane/plane/releases/tag/v1.4.0
- https://github.com/makeplane/plane/security/advisories/GHSA-wwgj-929g-42cm
- https://github.com/makeplane/plane/security/advisories/GHSA-wwgj-929g-42cm
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org