Plane: Gespeichertes Cross-Site Scripting im Intake ermöglicht Session-Token-Diebstahl
Zusammenfassung
Plane, ein Open-Source-Werkzeug für Projektmanagement, bereinigt den HTML-Inhalt von Intake-Einträgen nicht, die über das öffentliche Intake-Feature erfasst werden (IntakeIssuePublicViewSet.create). Jeder authentifizierte Benutzer, auch ohne Workspace-Mitgliedschaft, kann HTML in einem Projekt mit veröffentlichtem DeployBoard und aktiviertem Intake speichern. Öffnet ein Projektmitglied oder Betrachter den präparierten Link, wird JavaScript in dessen Session ausgeführt, wodurch ein langlebiges API-Token gestohlen werden kann. Die Schwachstelle wird als CWE-79 und CWE-862 geführt.
Betroffen
- Plane-Versionen vor 1.4.0 (Beispiel laut Advisory: v1.3.1)
Behoben in
- Plane 1.4.0 oder neuer (empfohlen: neueste 1.4.x-Version)
Umgehung
Unbekannt.
Ausnutzung
- CISA SSVC: Exploitation 'poc', automatisierbar 'nein', technische Auswirkung 'total'
- Nicht als aktiv ausgenutzt gelistet (KEV: nein)
Unsere Empfehlung
- Plane auf 1.4.0 oder eine neuere 1.4.x-Version aktualisieren.
- Falls ein sofortiges Update nicht möglich ist, öffentliches Intake und die Veröffentlichung von DeployBoards deaktivieren.
- Bestehende Intake-Einträge auf verdächtige Links und HTML-Inhalte prüfen.
- Nach dem Patch API-Token erneuern, sofern eine Kompromittierung vermutet wird.
- Selbstregistrierung auf öffentlich erreichbaren Instanzen einschränken.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-hh2r-3hwp-mvq3 github.com
- Plane v1.4.0 release github.com
- Fix commit 0d58adb github.com
- Pull request #9287 github.com
- OSV entry CVE-2026-104979 osv.dev
- Strix CVE-2026-104979 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 05:34.
Referenzen der NVD (5)
- https://github.com/makeplane/plane/commit/0d58adb69d859fc94c43b9d68fadd77e810d5ed1
- https://github.com/makeplane/plane/pull/9287
- https://github.com/makeplane/plane/releases/tag/v1.4.0
- https://github.com/makeplane/plane/security/advisories/GHSA-hh2r-3hwp-mvq3
- https://github.com/makeplane/plane/security/advisories/GHSA-hh2r-3hwp-mvq3
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.