🇰🇷 한글 설명
Plane의 자산 관리 API에서 멀티 테넌트 권한 부여 결함이 발견되었습니다. 인증된 사용자가 피해 워크스페이스의 슬러그와 자산 ID만 알면 다른 워크스페이스의 자산에 접근, 삭제 또는 복제할 수 있습니다. 이로 인해 데이터 노출, 삭제 및 공격자 워크스페이스로의 파일 유출이 가능합니다.
💡 쉬운 설명
로그인한 사용자가 다른 회사의 파일을 허락 없이 보거나 지우고, 자신의 계정으로 복사해갈 수 있는 보안 허점입니다. 공격자가 타겟의 식별 정보만 알면 다른 사용자의 소중한 데이터를 훔치거나 파괴할 수 있습니다.
🇺🇸 원문 (English)
Plane contains a multi‑tenant authorization flaw in its asset‑management API that allows authenticated users from one workspace to access, delete, or duplicate assets belonging to another workspace by providing only the victim workspace slug and asset ID. The affected endpoints return presigned file URLs and enable destructive or duplicative actions without verifying that the requester is a member of the targeted workspace. This enables cross‑tenant data exposure, data deletion, and persistent exfiltration of files into an attacker‑controlled workspace.
📍 영향받는 시스템
Plane asset-management API (버전 미상)
⚔️ 공격 벡터
인증된 사용자가 타겟 워크스페이스의 슬러그와 자산 ID를 이용해 API 요청을 전송
🛡️ 대응 방법
API 요청 시 요청자가 대상 워크스페이스의 멤버인지 확인하는 권한 검증 로직 추가
🔧 검증 코드
공격자 토큰으로 타인 워크스페이스의 자산에 접근했을 때 200 OK와 함께 데이터가 반환되면 취약한 상태입니다.
curl -s -X GET 'https://api.plane.so/api/assets/[VICTIM_WORKSPACE_SLUG]/[ASSET_ID]' -H 'Authorization: Bearer [ATTACKER_TOKEN]'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N
💻 영향받는 소프트웨어
IBM Security Verify Access