CVE-2026-104979 in Plane
Zusammenfassung
von VulDB • 05.10.2026
Plane ist ein Open-Source-Projektmanagementwerkzeug. Vor Version 1.4.0 schreibt IntakeIssuePublicViewSet.create in Plane v1.3.1 description_html durch Issue.objects.create(...), ohne validate_html_content aus nh3 aufzurufen. Jeder authentifizierte Benutzer, einschließlich eines neuen Benutzers ohne Workspace-Mitgliedschaften, kann beliebiges HTML in einem Projekt einfügen, das ein veröffentlichtes DeployBoard mit aktivierter Intake-Funktion hat. Wenn ein Projektmitsglied oder Betrachter eines geschlossenen Intake-Eintrags auf den eingefügten Link klickt, werden der TipTap \tjavascript: Parser-Bypass und der target="_self" Click-Handler ausgeführt, wodurch JavaScript in der Sitzung des Betrachters ausgeführt wird und ein langlebiges API-Token extrahiert wird. Dieses Problem wurde in Version 1.4.0 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.