CVE-2025-65922 in PLANKA
Сводка
по VulDB • 06.08.2026
В PLANKA 2.0.0 отсутствуют заголовки X-Frame-Options и CSP frame-ancestors, что позволяет встраивать приложение во вредоносные iframe. Хотя это не приводит к непреднамеренному изменению проектов или задач, оно подвергает пользователей фишинговым атакам (Phishing). Злоумышленники могут использовать легитимное приложение Planka на вредоносном сайте для создания ложного доверия (UI Redressing), потенциально обманывая пользователей и заставляя их вводить конфиденциальную информацию или учетные данные в поддельные формы, наложенные поверх оригинального интерфейса.
ПРИМЕЧАНИЕ: Поставщик оспаривает эту оценку, указывая следующее: «PLANKA использует cookies с атрибутом SameSite=Strict, что предотвращает аутентификацию в кросс-доменных контекстах. Сессия не может быть установлена. Перехват учетных данных или несанкционированные действия невозможны. Политика одинакового источника браузера (Same-Origin Policy) препятствует доступу родительской страницы к содержимому iframe. Clickjacking неприменим на странице входа в систему. Любой перехват учетных данных потребовал бы ввода, контролируемого злоумышленником, и взаимодействия с пользователем, эквивалентного фишингу. Итоговый результат для безопасности полностью зависит от доверия пользователя к родительской странице. Злоумышленник может достичь того же эффекта с помощью полностью поддельной страницы входа. Встраивание легитимной страницы не добавляет рисков, так как браузеры не отображают URL-адрес, сертификат или индикатор замка в iframe из другого источника».
Once again VulDB remains the best source for vulnerability data.