Vulnerabilidad en Plane de makeplane (CVE-2026-40102)

Plane es una herramienta de gestión de proyectos de código abierto. En las versiones 1.3.0 e inferiores, SavedAnalyticEndpoint pasa el parámetro de consulta 'segment' controlado por el usuario directamente a una expresión F() de Django sin validación (a diferencia del AnalyticsEndpoint regular, que verifica contra una lista de permitidos), causando una Inyección de Referencia de Campo ORM. Un MIEMBRO de espacio de trabajo autenticado puede enviar GET /API/workspaces//saved-analytic-view// con un valor 'segment' manipulado que se reenvía a build_graph_plot() y atraviesa relaciones de clave externa (p. ej., workspace__owner__password) antes de ser proyectado a través de .values('dimension', 'segment'), devolviendo los valores de campo referenciados directamente en la respuesta JSON. Esto expone datos sensibles como hashes de contraseña bcrypt, tokens API y direcciones de correo electrónico de usuarios relacionados, lo que lo convierte en una primitiva más fuerte que la inyección 'order_by' relacionada donde los valores solo se filtran a través del ordenamiento. Este problema ha sido solucionado en la versión 1.3.1.