Plane Proje Yönetim Aracında Yetki Aşımı Zafiyeti Bulundu

Proje yönetimi platformu Plane, 1.3.0 ve önceki sürümlerinde yer alan ciddi bir yetki aşımı zafiyeti ile karşı karşıya. CVE-2026-15342 kodlu bu açık, platformun varlık yönetimi API'sindeki çalışma alanı izolasyon mekanizmasının düzgün çalışmamasından kaynaklanıyor.

Söz konusu zafiyet, API uç noktalarının gelen isteklerdeki çalışma alanı kısa yollarını ve varlık tanımlayıcılarını doğrulamamasından ileri geliyor. Bu durum, sisteme giriş yapmış herhangi bir kullanıcının, hedef çalışma alanına ait bilgileri kullanarak başka bir kullanıcının dosyalarına erişmesine, bu dosyaları kendi alanına kopyalamasına veya tamamen silmesine olanak tanıyor. Saldırganların bu işlemi gerçekleştirebilmesi için hedef çalışma alanının kısa yolunu ve ilgili varlık kimliğini bilmesi yeterli oluyor; bu bilgiler ise genellikle herkese açık bağlantılar veya dışa aktarılan API verileri üzerinden ele geçirilebiliyor.

Platform geliştiricilerine ulaşılamadığı için şu an itibarıyla bu açığı kapatan bir yama henüz yayınlanmadı. Güvenlik uzmanları, risk altındaki kurumların API ağ geçidi kuralları veya güvenlik duvarı kısıtlamalarıyla bu uç noktalara erişimi sınırlandırmasını tavsiye ediyor.