CVE-2026-39843 in plane
الملخص
بحسب VulDB • 23/07/2026
Plane هو أداة لإدارة المشاريع مفتوحة المصدر. من الإصدار 0.28.0 وحتى قبل الإصدار 1.3.0، كان إصلاح الثغرة GHSA-jcc6-f9v6-f7jw غير مكتمل، مما قد يؤدي إلى نفس ثغرة تزوير طلبات جانب الخادم (SSRF) الكاملة للقراءة عندما يحتوي صفحة HTML عادية على وسم رابط (<link>) مع خاصية href تعيد التوجيه إلى عنوان IP خاص. يمكن لمهاجم موثق بامتيازات منخفضة استخدام ميزة "إضافة رابط" لإدخال هذا الرابط. يتم التحقق من صحة إعادة التوجيه لعنوان URL للصفحة الرئيسية، ولكن ليس لمسار جلب أيقونة الموقع (favicon). لا تزال الدالة fetch_and_encode_favicon() تستخدم requests.get(favicon_url, ...) مع إعداد متابعة إعادة التوجيه الافتراضي. تم إصلاح هذه الثغرة في الإصدار 1.3.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.