CVE-2026-104960 : Contournement de contrôle d accès dans l outil Plane antérieur à 1.4.0
Cette vulnérabilité montre la nécessité de valider systématiquement les contrôles d accès au niveau des objets et des projets, en particulier dans les outils de collaboration internes. Pour une DSI, cela rappelle l importance de auditer les API partagées afin d éviter l exposition de données sensibles entre espaces de travail.
L outil de gestion de projet Plane avant la version 1.4.0 expose un point de terminaison de téléchargement d actifs sans appliquer correctement le contrôle d accès au projet propriétaire. Un utilisateur authentifié appartenant au même espace de travail, mais étranger au projet secret, peut obtenir une redirection vers une URL de téléchargement s il connaît l UUID de la ressource. Cette vulnérabilité permet d exposer le contenu de fichiers privés protégés par des projets confidentiels.
Cette vulnérabilité montre la nécessité de valider systématiquement les contrôles d accès au niveau des objets et des projets, en particulier dans les outils de collaboration internes. Pour une DSI, cela rappelle l importance de auditer les API partagées afin d éviter l exposition de données sensibles entre espaces de travail.
À lire également
Le FBI met en cause un sous-traitant pour une faille non corrigee exploitee par ShinyHunters
Le FBI a ecarte un prestataire suite a une violation de donnees ayant expose des informations personnelles de milliers d employes de l agence. L...
Exploitation d une vulnerabilite dans le redemarrage automatique d iOS
Une entreprise d armement cybernetique exploite une vulnerabilite dans iOS pour contourner la fonction de securite du redemarrage automatique apres 72 heures d inactivite. Cette technique a ete developpe par Magnet...
Resultats du premier jour du Pwn2Own Ireland 2026
La premiere journee du concours Pwn2Own Ireland 2026 a vu plusieurs tentatives de piratage sur divers materiels et logiciels. Des chercheurs ont...
Faille critique CVE-2026-21589 dans Atlassian permettant la lecture de fichiers
Une vulnerabilite critique referencee CVE-2026-21589 touche huit produits Atlassian Data Center heberges par les clients. Elle permet a un attaquant...
Le FBI écarte un prestataire d Accenture suite à une faille exploitée par ShinyHunters
Le Federal Bureau of Investigation a retiré un prestataire d Accenture suite à une défaillance de sécurité liée au groupe ShinyHunters. Cet incident...
Nouvelle attaque ClickFix via le cache du navigateur
Une nouvelle campagne d'attaque de type ClickFix utilise des sites web compromis pour tromper les utilisateurs et exécuter une charge malveillante...