Plane: Race Condition bei Einrichtung des Instanz-Administrators erlaubt zusätzliche Admin-Konten
Zusammenfassung
Plane, ein Open-Source-Tool für Projektmanagement, enthält eine Race Condition (TOCTOU) im Endpunkt, der den ersten Instanz-Administrator erstellt. Von Version 0.13 bis 1.4.0 können zwei gleichzeitige, nicht authentifizierte Anfragen mit unterschiedlichen E-Mail-Adressen beide die Prüfung passieren, dass noch kein Administrator existiert. Beide Anfragen erstellen dann ein Konto mit Instanz-Administratorrechten, sodass ein Angreifer die volle Administration der Instanz mit dem legitimen Betreiber teilen kann.
Betroffen
- Plane ab Version 0.13 bis und mit 1.4.0 ausser 1.4.0 selbst (alle Versionen vor 1.4.0)
Behoben in
- Plane 1.4.0 (Korrektur im Commit 7fbf14a6cb494bbf5866e2b293b28a6d8a7e52c3, PR #9332)
Umgehung
- Unbekannt. Kein Workaround des Herstellers identifiziert; das Upgrade auf 1.4.0 ist die Korrektur.
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn.
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
- Kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Plane auf Version 1.4.0 oder neuer aktualisieren.
- Bis zum Upgrade den Endpunkt zur Instanz-Einrichtung vom Internet aus nicht erreichbar machen.
- Bei jeder neuen oder neu aufgesetzten Instanz die Administrator-Einrichtung unmittelbar nach der Bereitstellung abschliessen.
- Die Liste der Instanz-Administratoren auf unbekannte Konten prüfen und nicht erkannte Konten entfernen.
- Logs auf unerwartete Sign-up-Anfragen überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-p548-28jp-wr4p github.com
- Fix commit 7fbf14a6cb494bbf5866e2b293b28a6d8a7e52c3 github.com
- Pull Request #9332 github.com
- Plane v1.4.0 release github.com
- OSV: CVE-2026-104970 osv.dev
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 20:55.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.