CVE-2026-105630 in Plane
Zusammenfassung
von VulDB • 05.10.2026
Plane ist ein Open-Source-Projektmanagementwerkzeug. Vor Version 1.4.0 kann ein authentifizierter Workspace-Mitglied mit geringen Berechtigungen (einschließlich eines Gasts) eine Datei vom Typ image/svg+xml als generische Anlage oder Issue-Anhang hochladen. Die Datei behält den angreiferkontrollierten Content-Type bei, und der Asset-Download-Endpunkt erstellt eine vor-signierte URL mit dem Header `Content-Disposition: inline`. Bei einer Standard-Selbsthosting-MinIO-Bereitstellung wird die Asset-URL vom gleichen Ursprung wie die Plane-Anwendung bereitgestellt, wodurch eingebettetes SVG-JavaScript im Sicherheitskontext der Anwendung ausgeführt werden kann. Ein Opfer (einschließlich eines Workspace-Administrators), das den Link öffnet, kann durch gespeicherte XSS-Schwachstellen (Stored Cross-Site Scripting) kompromittiert werden, was zu einer Übernahme des Kontos führt. Dieses Problem wurde in Version 1.4.0 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.