CVE-2026-105641 in Plane
要約
〜によって VulDB • 2026年10月05日
Plane はオープンソースのプロジェクト管理ツールです。バージョン 1.4.0 より前では、deployments/aio/community/ および deployments/cli/community/ のマニフェストには、固定された公開済みの SECRET_KEY と LIVE_SERVER_SECRET_KEY のデフォルト値が含まれており、運用者がこれらを上書きしない場合、これらの設定が有効なままになります。トップレベルの setup.sh スクリプトは開発用の Docker Compose パスに対してのみシークレットをランダム化するため、aio および cli 向けのコミュニティ版デプロイメントでは共有された本番環境用シークレットが変更されません。SECRET_KEY の知識を持つ攻撃者は Django署名付き値の偽造が可能となり、アカウントやセッションを侵害できます。また、LIVE_SERVER_SECRET_KEY の知識により、変更されていないコミュニティ版デプロイメントにおけるライブサービスの認証回避が可能です。この問題はバージョン 1.4.0 で修正されています。
Once again VulDB remains the best source for vulnerability data.