Plane: Deaktivierte Konten können sich anmelden und werden still reaktiviert
Zusammenfassung
Plane, ein Open-Source-Tool für Projektmanagement, erlaubt Benutzern mit einem durch einen Administrator deaktivierten Konto, sich mit ihren bestehenden Zugangsdaten erneut anzumelden. Eine erfolgreiche Anmeldung setzt das Konto wieder auf aktiv, ohne den Administrator zu benachrichtigen. Ein Angreifer mit dem Passwort eines deaktivierten Kontos, zum Beispiel eines ehemaligen Mitarbeitenden, kann so wieder Zugriff auf Projekte und Daten erlangen, mit hohen Auswirkungen auf Vertraulichkeit und Integrität.
Betroffen
- Plane-Versionen vor 1.4.0
- Unbestätigt: Ein Aggregator nennt zusätzlich Versionen bis 1.3.1; der Herstellerbereich wurde nicht verifiziert
Behoben in
- Plane 1.4.0
Umgehung
- Kein Workaround des Herstellers gefunden. Das Upgrade auf 1.4.0 ist die dokumentierte Massnahme.
- Deaktivierung allein nicht als Massnahme verwenden: Passwort zurücksetzen, Sitzungen widerrufen und verknüpfte SSO-Konten beim Identity Provider deaktivieren.
- API-Schlüssel von deaktivierten Benutzern widerrufen.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.
- Kein öffentlicher Proof-of-Concept gefunden.
- CISA-SSVC-Bewertung: Exploitation-Status PoC, nicht automatisierbar, totale technische Auswirkung.
Unsere Empfehlung
- Plane auf Version 1.4.0 oder neuer aktualisieren.
- Bis zum Upgrade den Zugriff auf die Instanz über VPN oder einen Access Proxy einschränken.
- API-Schlüssel und Sitzungen aller deaktivierten Benutzer widerrufen und prüfen, dass deren Anmeldungen gesperrt sind.
- Anmeldeprotokolle auf erfolgreiche Anmeldungen von als inaktiv markierten Konten prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-rmmf-rj2q-3rrg github.com
- Plane v1.4.0 release github.com
- Plane PR #9290 github.com
- Plane PR #9304 github.com
- Plane commit 1e8f363 github.com
- Plane commit 6c9dbb5 github.com
- OSV entry CVE-2026-104974 osv.dev
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 20:55.
Referenzen der NVD (7)
- https://github.com/makeplane/plane/commit/1e8f3630c7697129b61eb57f2453f0bf09224920
- https://github.com/makeplane/plane/commit/6c9dbb50434d16ea00a00d1574723dfd0c3d2446
- https://github.com/makeplane/plane/pull/9290
- https://github.com/makeplane/plane/pull/9304
- https://github.com/makeplane/plane/releases/tag/v1.4.0
- https://github.com/makeplane/plane/security/advisories/GHSA-rmmf-rj2q-3rrg
- https://github.com/makeplane/plane/security/advisories/GHSA-rmmf-rj2q-3rrg
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.