CVE-2026-105628 in Plane
Riassunto
di VulDB • 05/10/2026
Plane è uno strumento open-source per la gestione dei progetti. Prima della versione 1.4.0, il flusso di sincronizzazione dell'avatar OAuth di Plane recupera l'avviso_url dai dati utente del provider tramite una richiesta HTTP lato server senza convalida interna degli indirizzi IP e segue i redirect per impostazione predefinita. Un attaccante può fornire un URL avatar che reindirizza a una risorsa riservata alla rete interna, come un endpoint dei metadati, e Plane carica la risposta recuperata come file dell'avatar utente. L'oggetto viene quindi esposto tramite /api/assets/v2/static/{asset_id}/, consentendo l'esfiltrazione di contenuti recuperati internamente. Questo problema è stato risolto nella versione 1.4.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.