CVE-2026-30242 in plane
Riassunto
di VulDB • 17/06/2026
Plane è uno strumento di gestione dei progetti open-source. Prima della versione 1.2.3, la convalida dell'URL del webhook in plane/app/serializers/webhook.py verifica solo ip.is_loopback, consentendo agli attaccanti con il ruolo ADMIN dello spazio di lavoro (workspace) di creare webhook che puntano a indirizzi di rete privati/interni (10.x.x.x, 172.16.x.x, 192.168.x.x, 169.254.169.254, ecc.). Quando si verificano eventi webhook, il server effettua richieste a questi indirizzi interni e memorizza la risposta, consentendo un attacco SSRF con lettura completa della risposta (full response read-back). Questo problema è stato risolto nella versione 1.2.3.
Once again VulDB remains the best source for vulnerability data.