CVE-2026-104976 in Plane
Zusammenfassung
von VulDB • 05.10.2026
Plane ist ein Open-Source-Projektmanagementwerkzeug. Vor Version 1.4.0 validiert Plane den Parameter `GITEA_HOST` nur hinsichtlich seines URL-Schemas und lehnt Hosts, die auf private oder interne IP-Adressen auflösen, nicht ab. Die vier ausgehenden Anfragen im Gitea-OAuth-Ablauf werden von diesem unvalidierten Host abgeleitet und rufen keine `validate_url()`-Funktion auf. Darüber hinaus wird `avatar_url` aus dem Profil des Gitea-Benutzers übernommen, wo Benutzer externe Avatar-URLs konfigurieren können. Nach der Aktivierung von Gitea OAuth durch einen Administrator für eine legitime Instanz kann ein Gitea-Benutzer eine interne URL als Profil-Avatar festlegen und sich über Gitea anmelden, wodurch Plane das interne Ziel ohne Validierung abruft. Dieses Problem wurde in Version 1.4.0 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.