Plane: Klartext-Protokollierung von API-Tokens ermöglicht Rechteausweitung
Zusammenfassung
Plane, ein Open-Source-Werkzeug für Projektmanagement, protokolliert API-Schlüssel über seine Middleware für API-Token im Klartext. Ein Angreifer mit einem Konto mit niedrigen Berechtigungen, der Zugriff auf diese Protokolle erhält, kann API-Schlüssel anderer Benutzer stehlen und damit seine Rechte ausweiten. Der CVSS-4.0-Wert beträgt 8.7 (hoch), wobei die Auswirkungen auf Vertraulichkeit und Integrität hoch sind.
Betroffen
- Plane (makeplane) Versionen vor 1.4.0
Behoben in
- Auf Plane 1.4.0 oder neuer aktualisieren. Der Hersteller gibt an, dass die Schwachstelle in 1.4.0 behoben ist.
Umgehung
Unbekannt.
Ausnutzung
- CISA-SSVC-Bewertung: keine Ausnutzung, nicht automatisierbar, totale technische Auswirkung.
- Zum Zeitpunkt der Erstellung ist kein öffentlicher Proof of Concept und keine bestätigte Ausnutzung in freier Wildbahn bekannt.
Unsere Empfehlung
- Selbst gehostete Plane-Instanzen auf Version 1.4.0 oder neuer aktualisieren, vorzugsweise auf das neueste stabile 1.4.x-Release.
- Prüfen, ob bestehende Protokolle Klartext-API-Schlüssel enthalten, diese einschränken oder löschen und API-Tokens, die auf ungepatchten Instanzen aktiv waren, erneuern.
- Benutzerkonten, einschliesslich Gastkonten, überprüfen und die Nutzung von API-Tokens auf ungewöhnliche Aktivitäten überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-r5p8-cj3q-38cc github.com
- Plane release v1.4.0 github.com
- Plane pull request #9148 github.com
- Plane fix commit edf2475 github.com
- OSV entry CVE-2026-104892 osv.dev
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 05:36.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.