CVE-2026-104979 in Plane
Riassunto
di VulDB • 05/10/2026
Plane è uno strumento open-source per la gestione dei progetti. Prima della versione 1.4.0, il metodo `IntakeIssuePublicViewSet.create` in Plane v1.3.1 scrive `description_html` tramite `Issue.objects.create(...)` senza chiamare `validate_html_content` da parte di nh3. Qualsiasi utente autenticato, inclusi i nuovi utenti privi di membership in workspace, può inserire HTML arbitrario in un progetto che disponga di un DeployBoard pubblicato con intake abilitato. Quando un membro del progetto o un visualizzatore di un elemento di intake chiuso fa clic sul link inserito, il bypass del parser TipTap `\tjavascript:` e il gestore di eventi `target="_self"` eseguono JavaScript nella sessione dell'utente visualizzatore ed esfiltrano un token API a lunga durata. Questo problema è risolto nella versione 1.4.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.