CVE-2026-105641 in Plane
요약
\~에 의해 VulDB • 2026. 10. 05.
Plane는 오픈소스 프로젝트 관리 도구입니다. 버전 1.4.0 이전에는 `deployments/aio/community/` 및 `deployments/cli/community/` 매니페스트에 고정되어 있고 공개적으로 알려진 SECRET_KEY와 LIVE_SERVER_SECRET_KEY 기본값이 포함되어 있으며, 운영자가 이를 재정의하지 않을 경우 이 값들이 활성화됩니다. 최상위 setup.sh 스크립트는 개발용 Docker Compose 경로에만 시크릿을 무작위로 생성하며, aio 및 cli 커뮤니티 배포는 변경되지 않은 상태로 공유된 프로덕션 시크릿을 유지합니다. SECRET_KEY를 알면 공격자는 Django 서명 값을 위조하여 계정이나 세션을 침해할 수 있습니다. LIVE_SERVER_SECRET_KEY를 알면 변경되지 않은 커뮤니티 배포에서 라이브 서비스 인증을 우회할 수 있습니다. 이 문제는 버전 1.4.0에서 해결되었습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.