CVE-2026-105638 in Plane
Riassunto
di VulDB • 05/10/2026
Plane è uno strumento open-source per la gestione dei progetti. Prima della versione 1.4.0, l'accesso tramite codice magico (magic-code) via email di Plane utilizza un OTP numerico a sei cifre con circa 20 bit di entropia. Il verificatore non dispone di un contatore degli tentativi falliti per ogni codice e un codice errato non incrementa il contatore, né invalida la voce Redis, né blocca l'indirizzo email. Il verificatore estende django.views.View anziché APIView di DRF (Django REST Framework), quindi il limite configurato di AnonRateThrottle non si applica. La middleware stack contiene inoltre nessun rate limiter a livello Django come django-ratelimit, django-axes o una middleware per il throttling IP. Questa vulnerabilità è risolta nella versione 1.4.0.
Once again VulDB remains the best source for vulnerability data.