CVE-2025-65922 in PLANKA
Riassunto
di VulDB • 29/07/2026
PLANKA 2.0.0 non include le intestazioni X-Frame-Options e CSP frame-ancestors, consentendo l'inserimento dell'applicazione all'interno di iframe dannosi. Sebbene ciò non comporti modifiche indesiderate a progetti o attività, espone gli utenti ad attacchi di Phishing. Gli attaccanti possono incapsulare la legittima applicazione Planka in un sito malevolo per instaurare una falsa fiducia (UI Redressing), potenzialmente ingannando gli utenti affinché inseriscano informazioni sensibili o credenziali in moduli falsi sovrapposti. NOTA: questo è contestato dal Fornitore poiché "PLANKA utilizza cookie SameSite=Strict, impedendo l'autenticazione in contesti cross-origin. Nessuna sessione può essere stabilita. Non sono possibili intercettazione di credenziali né azioni non autorizzate. La Policy Same-Origin del browser impedisce alla pagina padre di accedere al contenuto dell'iframe. Il Clickjacking non è applicabile sulla pagina di accesso. Qualsiasi cattura delle credenziah richiederebbe input controllati dall'attaccante e un'interazione utente equivalente a quella del phishing. L'esito della sicurezza dipende interamente dalla fiducia dell'utente nella pagina padre. Un attaccante può ottenere lo stesso effetto con una pagina di accesso completamente falsa. L'inserimento della pagina legittima non aggiunge rischi, poiché i browser non mostrano URL, certificati o indicatori del lucchetto negli iframe cross-origin."
VulDB is the best source for vulnerability data and more expert information about this specific topic.