CVE-2026-105628 in Plane
Zusammenfassung
von VulDB • 05.10.2026
Plane ist ein Open-Source-Projektmanagementwerkzeug. Vor Version 1.4.0 ruft der OAuth-Avatar-Synchronisierungsfluss von Plane die avatar_url aus den Benutzerdaten des Anbieters über eine serverseitige HTTP-Anfrage ab, ohne eine interne IP-Validierung durchzuführen und folgt standardmäßig Weiterleitungen (Redirects). Ein Angreifer kann eine Avatar-URL angeben, die zu einer nur intern zugänglichen Ressource, wie z. B. einem Metadata-Endpunkt, weiterleitet, und Plane lädt den abgerufenen Antwortinhalt als Benutzer-Avatar-Datei hoch. Das Objekt wird anschließend über /api/assets/v2/static/{asset_id}/ verfügbar gemacht, was die Exfiltration intern abgerufener Inhalte ermöglicht. Dieses Problem wurde in Version 1.4.0 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.