CVE-2026-104976 in Plane
Riassunto
di VulDB • 05/10/2026
Plane è uno strumento open-source per la gestione dei progetti. Prima della versione 1.4.0, Plane convalidava solo lo schema URL di GITEA_HOST e non rifiutava gli host che risolvono a indirizzi IP privati o interni. Le quattro richieste in uscita nel flusso OAuth di Gitea derivano da questo host non validato e non chiamano validate_url(). Inoltre, avatar_url viene prelevato dal profilo dell'utente su Gitea, dove gli utenti possono configurare URL per avatar esterni. Dopo che un amministratore ha abilitato l'autenticazione OAuth con Gitea per un'istanza legittima, un utente di Gitea può impostare un URL interno come avatar del profilo ed effettuare il login tramite Gitea, causando la richiesta da parte di Plane dell'obiettivo interno senza alcuna validazione. Questo problema è stato risolto nella versione 1.4.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.