Plane: Gespeichertes Cross-Site Scripting in Kommentaren zu Arbeitselementen

Zusammenfassung

Plane, ein Open-Source-Tool für das Projektmanagement, bereinigte vor Version 1.4.0 unsichere URL-Schemata im HTML von Kommentaren nicht. Ein Projektmitglied kann einen präparierten Link in einem Kommentar speichern, und vom Angreifer kontrolliertes Skript wird dann im Browser eines anderen Benutzers ausgeführt, der diesen Link auswählt. Der CVSS-4.0-Wert beträgt 8.5 (HIGH), mit hohen Auswirkungen auf Vertraulichkeit und Integrität und ohne Auswirkungen auf die Verfügbarkeit.

Betroffen

• Plane (makeplane/plane) Versionen vor 1.4.0

Behoben in

• Plane 1.4.0

Umgehung

Unbekannt.

Ausnutzung

• CISA SSVC: Ausnutzung Status poc (Proof of Concept verfügbar), automatisierbar: nein, technische Auswirkung: total.
• Das Advisory beschreibt, wie sich die Schwachstelle reproduzieren lässt. Es wurden keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden.

Unsere Empfehlung

• Alle selbst betriebenen Plane-Instanzen und deren Versionen erfassen.
• So rasch wie möglich auf Plane 1.4.0 oder neuer aktualisieren.
• Prüfen, welche Benutzer Kommentare verfassen können, insbesondere externe Gäste oder gemeinsam genutzte Projektboards.
• Benutzer anweisen, bis zur Aktualisierung keine Links aus nicht vertrauenswürdigen Kommentaren zu öffnen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-6qrq-f73q-r67j github.com
• Plane release v1.4.0 github.com
• Fix commit 0d58adb (WEB-7774) github.com
• Pull request #9287 github.com
• OSV entry CVE-2026-102982 osv.dev

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 10:44.