Plane v1.4.3 усиливает разграничение доступа и защиту вебхуков

Plane выпустила версию v1.4.3 28 октября 2026 года. Релиз закрывает несколько проблем разграничения доступа и изоляции проектов, усиливает защиту входа и перестаёт возвращать секрет подписи вебхука после его создания. Разработчики рекомендуют обновить self-hosted-инстансы.

Разграничение доступа и изоляция проектов

Публиковать проект теперь может только его участник. Ранее участник рабочего пространства мог опубликовать чужой, в том числе секретный, проект и раскрыть его задачи через публичную доску. Комментарии, реакции, голоса и intake-заявки на опубликованных досках также привязаны к их собственным проекту и рабочему пространству.

Эндпоинт подзадач ограничен проектом из URL запроса, а преобразовать черновик в задачу может только владелец черновика. Исправлена и обработка приглашений: принятие приглашения добавляет пользователя именно в указанный проект и с назначенной ролью, не восстанавливая старое членство в другом проекте.

Вход, секреты и зависимости

Для входа и регистрации по email и паролю добавлено ограничение частоты запросов в приложении и на опубликованных досках. Секрет подписи вебхука больше не возвращается в списке, при чтении и обновлении: его показывают только при создании вебхука или повторной генерации секрета.

Параметр order_by в списке страниц проекта проверяется по разрешённому списку. В релиз также вошли обновления зависимостей с известными уязвимостями и пересборка Docker-образов с исправленными базовыми пакетами. Отдельных идентификаторов CVE и уровней серьёзности release notes не приводят.

Исправления для self-hosted

Встроенное объектное хранилище переведено с недоступного образа MinIO на закреплённую версию pgsty/silo. Скрипты install.sh и swarm.sh корректно обрабатывают новый компактный ответ GitHub API, а air-gapped restore получил очистку устаревших данных и откат при сбое замены каталогов.