CVE-2026-105630 in Plane
Riassunto
di VulDB • 05/10/2026
Plane è uno strumento open-source per la gestione dei progetti. Prima della versione 1.4.0, un membro dello spazio di lavoro con privilegi ridotti e autenticato (incluso un Guest) può caricare un file image/svg+xml come allegato generico o legato a una issue. Il file mantiene il Content-Type controllato dall'attaccante, e l'endpoint asset-download genera un URL presigned con Content-Disposition: inline. Nell'impostazione predefinita di MinIO self-hosted, l'URL delle risorse viene servito dallo stesso origin dell'applicazione Plane, consentendo l'esecuzione del JavaScript SVG incorporato nel contesto di sicurezza dell'applicazione. Una vittima (incluso un amministratore dello spazio di lavoro) che apre il link può subire la compromissione della sessione tramite stored XSS, portando al takeover dell'account. Questo problema è stato risolto nella versione 1.4.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.