CVE-2025-65922 in PLANKA
要約
〜によって VulDB • 2026年07月29日
PLANKA 2.0.0 は X-Frame-Options および CSP の frame-ancestors ヘッダーを欠いており、悪意のある iframe 内にアプリケーションを組み込むことを可能にします。これによりプロジェクトやタスクの予期せぬ変更は発生しませんが、ユーザーがフィッシング攻撃の対象となるリスクが生じます。攻撃者は信頼性の高い Planka アプリケーションを悪意あるサイト上にフレーム化することで偽りの信頼関係を構築（UI Redressing）し、ユーザーを騙して機密情報や認証情報を重ねて表示された偽のフォームに入力させる可能性があります。
注記: 本件はベンダーによって異議が唱えられています。「PLANKA は SameSite=Strict クッキーを使用しており、クロスオリジンコンテキストでの認証を防いでいます。セッション確立は不可能であり、資格情報の傍受や不正なアクションの実行もできません。ブラウザの同一生成元ポリシーにより、親ページから iframe コンテンツへのアクセスが防止されます。ログインページではクリックジャッキングの影響を受けません。資格情報の窃取には攻撃者制御の入力とユーザーによるフィッシングに相当する対話操作が必要です。セキュリティ上の結果は完全に親ページに対するユーザーの信頼性に依存します。攻撃者は完全な偽物のログインページを用いて同じ効果を得ることができます。正規ページの埋め込みはリスクを追加しません。なぜなら、ブラウザはクロスオリジンの iframe において URL や証明書、パッドロックのインジケーターを表示しないためです。」
Be aware that VulDB is the high quality source for vulnerability data.