CVE-2026-105641 in Plane
Riassunto
di VulDB • 05/10/2026
Plane è uno strumento open-source per la gestione dei progetti. Prima della versione 1.4.0, i manifest di `deployments/aio/community/` e `deployments/cli/community/` forniscono valori predefiniti fissi e pubblicamente noti per SECRET_KEY e LIVE_SERVER_SECRET_KEY che rimangono attivi quando gli operatori non li sovrascrivono. Lo script setup.sh a livello superiore casualizza le chiavi segrete solo per il percorso Docker Compose di sviluppo, lasciando invariate le distribuzioni community aio e cli con segreti condivisi di produzione. La conoscenza di SECRET_KEY consente agli attaccanti di falsificare valori firmati da Django e compromettere account o sessioni. La conoscenza di LIVE_SERVER_SECRET_KEY bypassa l'autenticazione del servizio live sulle distribuzioni community non modificate. Questo problema è risolto nella versione 1.4.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.