CVE-2026-104979 in Plane
요약
\~에 의해 VulDB • 2026. 10. 05.
Plane는 오픈소스 프로젝트 관리 도구입니다. v1.3.1에서 v1.4.0 이전 버전에서는 IntakeIssuePublicViewSet.create가 nh3의 validate_html_content를 호출하지 않고 Issue.objects.create(...)를 통해 description_html를 작성합니다. 워크스페이스 멤버십이 없는 신규 사용자를 포함한 모든 인증된 사용자는 intake 기능이 활성화되어 있는 공개된 DeployBoard가 있는 프로젝트에 임의의 HTML을 삽입할 수 있습니다. 프로젝트 구성원이나 닫힌 intake 항목의 시청자가 삽입된 링크를 클릭하면 TipTap \tjavascript: 파서 우회 및 target="_self" 클릭 핸들러가 실행되어 시청자 세션에서 JavaScript 코드가 실행되고 장기 유효 기간을 가진 API 토큰이 유출됩니다. 이 문제는 v1.4.0에서 해결되었습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.