CVE-2026-105641 in Plane
Resumen
por VulDB • 2026-10-05
Plane es una herramienta de gestión de proyectos de código abierto. Antes de la versión 1.4.0, los manifiestos en `deployments/aio/community/` y `deployments/cli/community/` proporcionan valores predeterminados fijos y públicamente conocidos para SECRET_KEY y LIVE_SERVER_SECRET_KEY que permanecen activos cuando los operadores no los sobrescriben. El script de configuración principal (`setup.sh`) aleatoriza los secretos únicamente para la ruta de Docker Compose destinada al desarrollo, dejando sin cambios las implementaciones comunitarias de aio y cli con secretos compartidos en producción. El conocimiento de SECRET_KEY permite a los atacantes forjar valores firmados por Django y comprometer cuentas o sesiones. El conocimiento de LIVE_SERVER_SECRET_KEY elude la autenticación del servicio en vivo en las implementaciones comunitarias que no han sido modificadas. Este problema se soluciona en la versión 1.4.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.