🇰🇷 한글 설명
Plane 프로젝트 관리 도구 1.4.0 미만 버전에서 자산 복제 및 관리 시 워크스페이스 권한 검증이 누락되는 취약점이 발견되었습니다. 이로 인해 인증된 사용자가 자신이 속하지 않은 다른 워크스페이스의 파일을 복제, 읽기, 수정 또는 삭제할 수 있으며 워크스페이스 정보가 노출될 수 있습니다.
💡 쉬운 설명
로그인한 사용자가 권한이 없는 다른 팀의 프로젝트 파일이나 정보를 마음대로 가져오거나 지울 수 있는 보안 결함입니다. 마치 회사 출입증만 있으면 다른 팀의 잠긴 캐비닛을 열어볼 수 있는 것과 같습니다.
🇺🇸 원문 (English)
Plane is an open-source project management tool. Prior to 1.4.0, DuplicateAssetEndpoint fetches a source FileAsset without limiting it to the caller's workspace, allowing cross-workspace asset duplication. WorkspaceFileAssetEndpoint and the legacy FileAssetEndpoint omit workspace authorization, allowing authenticated users to read, create, modify, or delete assets in workspaces where they are not members. Separately, WorkspaceViewViewSet.retrieve lacks the authorization decorator used by its sibling actions, exposing an unauthorized workspace-view read surface. This issue is fixed in 1.4.0.
📍 영향받는 시스템
Plane open-source project management tool (version < 1.4.0)
⚔️ 공격 벡터
인증된 사용자가 권한 검증이 누락된 API 엔드포인트를 호출하여 타 워크스페이스의 자산에 접근
🛡️ 대응 방법
Plane 프로젝트 관리 도구를 1.4.0 버전 이상으로 즉시 업데이트
🔧 검증 코드
출력 결과에 1.4.0 이상의 버전 정보가 포함되어 있는지 확인하여 패치 여부를 판단합니다.
curl -s http://<target-ip>/api/version | grep -E '1.4.0'