Plane: Aufzählung von Mitgliedern über Workspaces hinweg über Entity-Search-Endpunkt

Zusammenfassung

Plane, ein Open-Source-Tool für Projektmanagement, erlaubt jedem authentifizierten Benutzer, der einen Workspace-Slug kennt, die Anzeigenamen, UUIDs, Avatar-URLs und Projektmitglieder-Einträge dieses Workspaces abzurufen, auch ohne Mitglied zu sein. Dem Endpunkt SearchEndpoint fehlte eine Prüfung der Workspace-Mitgliedschaft. Voraussetzung für die Ausnutzung sind ein gültiges Konto auf der Instanz und die Kenntnis des Workspace-Slugs, der oft erratbar ist.

Betroffen

• Plane-Versionen vor 1.4.0

Behoben in

• Plane 1.4.0 (Fix-Commit 28ae25b, PR #9296)

Umgehung

• Unbekannt. Bis zum Upgrade den Kreis der Kontoinhaber einschränken und den Netzwerkzugriff auf die Instanz beschränken.

Ausnutzung

• Keine bekannte Ausnutzung in den geprüften Quellen.
• CISA SSVC: Ausnutzung PoC, automatisierbar: nein, technische Auswirkung: total.
• In den geprüften Quellen nicht als aktiv ausgenutzt gelistet.

Unsere Empfehlung

• Prüfen Sie, ob Ihre Plane-Instanz eine Version vor 1.4.0 einsetzt.
• Falls ja, planen Sie das Upgrade auf 1.4.0 oder neuer.
• Beschränken Sie die Kontoerstellung und überprüfen Sie bestehende Konten, insbesondere externe Gäste.
• Überprüfen Sie die Behebung anhand des GitHub-Advisories GHSA-32q3-mqpc-3mhv.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub fix commit 28ae25b github.com
• GitHub pull request #9296 github.com
• Plane release v1.4.0 github.com
• GitHub Security Advisory GHSA-32q3-mqpc-3mhv github.com
• OSV CVE-2026-104968 osv.dev

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 05:36.