CVE-2026-104978 in Plane
Zusammenfassung
von VulDB • 05.10.2026
Plane ist ein Open-Source-Projektmanagementwerkzeug. Vor Version 1.4.0 war der Endpunkt für die Projekt-Einladungsliste von Plane für jeden authentifizierten Benutzer zugänglich, der den Workspace-Slug und die Projekt-ID kennt, während der öffentliche Endpunkt zum Beitreten einer Projekteinladung eine Einladung nur auf Basis einer eingegebenen E-Mail-Adresse akzeptiert. Wenn eine ausstehende Einladung an eine E-Mail-Adresse gerichtet ist, die nicht bei Plane registriert ist, kann ein Angreifer die Einladung auflisten, ein Konto unter Verwendung der eingeladenen E-Mail-Adresse ohne Postfachüberprüfung erstellen und die Einladung annehmen. Das vom Angreifer kontrollierte Konto wird dann dem Ziel-Workspace und -Projekt hinzugefügt. Dieses Problem wurde in Version 1.4.0 behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.