Plane: Einladungsübernahme im Projektbeitritt durch fehlende Autorisierung
Zusammenfassung
Plane, ein Open-Source-Werkzeug für das Projektmanagement, prüft nicht korrekt, wer eine Projekteinladung annimmt. Der Beitritts-Endpunkt stützte sich nur auf eine übermittelte E-Mail-Adresse, und die Einladungsliste war für jeden authentifizierten Benutzer sichtbar, der den Workspace-Slug und die Projekt-ID kannte. Ein Angreifer kann ein Konto mit der E-Mail-Adresse eines ausstehenden Eingeladenen registrieren, ohne dass die Mailbox verifiziert wird, die Einladung annehmen und so Zugriff auf den Ziel-Workspace und das Projekt erhalten.
Betroffen
- Plane (makeplane/plane) Versionen vor 1.4.0
Behoben in
- Version 1.4.0 und neuer. Die aktuelle stabile Version ist auf der offiziellen Release-Seite zu prüfen.
Umgehung
Unbekannt.
Ausnutzung
- CISA-SSVC-Bewertung: Ausnutzungsstatus 'poc', automatisierbar: nein, technische Auswirkung: total.
- Keine Ausnutzung in freier Wildbahn gefunden.
- Status eines öffentlichen Proof-of-Concept unbekannt.
Unsere Empfehlung
- Auf die neueste stabile Plane-Version aktualisieren.
- Offene Selbstregistrierung deaktivieren oder Anmeldungen nur über Einladungen oder SSO erlauben, bis das Update eingespielt ist.
- Ausstehende Einladungen an Adressen ohne Konto prüfen und nach kürzlich erstellten Konten mit diesen Adressen suchen.
- Workspace- und Projektmitgliedschaften prüfen, insbesondere Rollen für Projektadministratoren.
- Internetzugriff auf selbst gehostete Instanzen einschränken, sofern kein externer Zugriff benötigt wird.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-g36h-p63v-g9c7 github.com
- Plane v1.4.0 release github.com
- Fix commit 14a4c22 github.com
- Pull request #9308 github.com
- OSV entry CVE-2026-104978 osv.dev
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 17:03.
Referenzen der NVD (5)
- https://github.com/makeplane/plane/commit/14a4c22f94eac1582439e41112213f976c6a6cf7
- https://github.com/makeplane/plane/pull/9308
- https://github.com/makeplane/plane/releases/tag/v1.4.0
- https://github.com/makeplane/plane/security/advisories/GHSA-g36h-p63v-g9c7
- https://github.com/makeplane/plane/security/advisories/GHSA-g36h-p63v-g9c7
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.