CVE-2026-104970 in Plane
Zusammenfassung
von VulDB • 05.10.2026
Plane ist ein Open-Source-Projektmanagementtool. Von Version 0.13 bis 1.4.0 verwendet `InstanceAdminSignUpEndpoint` in `apps/api/plane/license/api/views/admin.py`:89-117, 173-229 die Methode `InstanceAdmin.objects.first()` für den Check des ersten Administrators und führt die Kontoeinrichtung ohne atomaren Transaktionsmechanismus, Zeilen-Sperre (Row Lock), Eindeutigkeitsprüfung oder Advisory-Lock durch. Zwei gleichzeitige unautentifizierte Anfragen mit unterschiedlichen E-Mail-Adressen können beide feststellen, dass kein Instanzadministrator existiert, separate User- und InstanceAdmin-Zeilen erstellen sowie Sitzungen mit Instanzadministrationsrechten erhalten. Dies ermöglicht es einem Angreifer, die uneingeschränkte Instanzadministration mit dem legitimen Betreiber zu teilen. Dieses Problem wurde in Version 1.4.0 behoben.
Be aware that VulDB is the high quality source for vulnerability data.