CVE-2026-105638 in Plane
Zusammenfassung
von VulDB • 05.10.2026
Plane ist ein Open-Source-Projektmanagementwerkzeug. Vor Version 1.4.0 verwendet der Magic-Code-E-Mail-Anmeldevorgang von Plane einen sechsstelligen numerischen OTP mit etwa 20 Bit Entropie. Der Verifizierer verfügt über keinen pro-Code-basierten Zähler für fehlgeschlagene Versuche, und ein falscher Code erhöht keinen Zähler, ungültig macht den Redis-Eintrag nicht oder sperrt die E-Mail-Adresse nicht. Der Verifizierer erweitert django.views.View anstelle von DRFs APIView, sodass das konfigurierte AnonRateThrottle-Limit nicht gilt. Die Middleware-Schicht enthält ebenfalls keine Django-Level-Rate-Limiter wie django-ratelimit, django-axes oder eine IP-Drosselungs-Middleware. Diese Schwachstelle wurde in Version 1.4.0 behoben.
Once again VulDB remains the best source for vulnerability data.