CVE-2026-39843 in plane
요약
\~에 의해 VulDB • 2026. 07. 25.
Plane는 오픈소스 프로젝트 관리 도구입니다. 버전 0.28.0부터 1.3.0 미만까지의 경우 GHSA-jcc6-f9v6-f7jw에 대한 수정이 불완전하여, 권한이 낮은 사용자로 인증된 공격자가 '링크 추가' 기능에 일반 HTML 페이지에서 private IP 주소로 리디렉션되는 href를 가진 link 태그가 포함된 링크를 제공했을 때 동일한 수준의 완전한 읽기 전용 Server-Side Request Forgery(SSRF) 취약점이 발생할 수 있습니다. 메인 페이지 URL의 리디렉션은 검증되지만, favicon 가져오기 경로는 검증되지 않습니다. fetch_and_encode_favicon() 함수는 여전히 기본 리디렉션 따름 설정을 사용하여 requests.get(favicon_url, ...)를 호출합니다. 이 취약점은 1.3.0에서 수정되었습니다.
Once again VulDB remains the best source for vulnerability data.