CVE-2026-105641 in Plane
الملخص
بحسب VulDB • 05/10/2026
Plane هو أداة لإدارة المشاريع مفتوحة المصدر. قبل الإصدار 1.4.0، توفر ملفات التكوين (manifests) الموجودة في المسارات `deployments/aio/community/` و `deployments/cli/community/` قيمًا افتراضية لـ `SECRET_KEY` و `LIVE_SERVER_SECRET_KEY` ثابتة ومعروفة للعامة، وتظل هذه القيم نشطة عندما لا يقوم المشغلون بتجاوزها. تقوم سكريبتات الإعداد (`setup.sh`) على المستوى الأعلى بمعالجة عشوائية للأسرار (secrets) فقط لمسار Docker Compose الخاص بالتطوير، تاركًا بدون تغيير عمليات نشر مجتمعات aio و cli مع أسرار إنتاج مشتركة. يتيح معرفة `SECRET_KEY` للمهاجمين تزوير القيم الموقعة من قبل Django والسيطرة على الحسابات أو الجلسات. بينما يسمح معرفة `LIVE_SERVER_SECRET_KEY` بتجاوز مصادقة الخدمة الحية في عمليات النشر المجتمعية غير المعدلة. تم إصلاح هذه المشكلة في الإصدار 1.4.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.