Plane: Workspace-übergreifender Asset-Zugriff und fehlende Autorisierungsprüfungen

Zusammenfassung

Plane, ein Open-Source-Tool für Projektmanagement, enthält mehrere Autorisierungsfehler in seinen Asset- und Workspace-View-Endpunkten. Ein authentifizierter Benutzer kann Datei-Assets in Workspaces, deren Mitglied er nicht ist, duplizieren, lesen, erstellen, ändern oder löschen und kann Workspace-Views ohne Autorisierung lesen. Der Angreifer benötigt einen Netzwerkzugang zur Anwendung und ein beliebiges gültiges Konto, eine Benutzerinteraktion ist nicht nötig. Der CNA stuft das Problem als hoch ein (CVSS 3.1 8.5); CISA SSVC führt die Ausnutzung als PoC und die Automatisierbarkeit als nein auf.

Betroffen

• Plane-Versionen vor 1.4.0
• Betroffene Komponenten: DuplicateAssetEndpoint, WorkspaceFileAssetEndpoint, FileAssetEndpoint, WorkspaceViewViewSet.retrieve

Behoben in

• Plane 1.4.0 (Release-Tag v1.4.0)

Umgehung

Unbekannt.

Ausnutzung

• In den geprüften Quellen wurde keine Ausnutzung in freier Wildbahn gefunden (CISA KEV nicht direkt geprüft)
• CISA SSVC: Exploitation: poc, Automatable: no, Technical Impact: partial
• In den Recherchequellen wurde kein öffentlicher Exploit gefunden

Unsere Empfehlung

• Plane auf Version 1.4.0 oder neuer aktualisieren, zuerst internetexponierte und Mandanten-Instanzen
• Bis zur Aktualisierung prüfen, welche Konten auf der Instanz existieren, und nicht benötigte entfernen
• Asset- und Workspace-Zugriffsprotokolle auf unerwartete workspace-übergreifende Aktivitäten prüfen
• Prüfen, ob die Plane-Instanz aus dem Internet erreichbar oder mit externen Parteien geteilt ist

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub commit 4577dc3 (scope FileAsset queries) github.com
• GitHub commit ac11c3e (enforce workspace membership on V2 asset endpoints) github.com
• GitHub Security Advisory GHSA-p57q-8hh8-7fc7 github.com
• Plane v1.4.0 release github.com
• OSV entry CVE-2026-104971 osv.dev
• Positive Technologies PT-2026-106039 vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 11:27.