Plane: Gespeichertes XSS über SVG-Anhang, inline auf Anwendungs-Origin ausgeliefert
Zusammenfassung
Plane, ein Open-Source-Tool für Projektmanagement, liefert hochgeladene SVG-Anhänge in der Standardkonfiguration für selbst gehostete MinIO-Instanzen inline auf dem Origin der Anwendung aus. Ein authentifizierter Workspace-Benutzer, auch ein Gast, kann eine präparierte SVG-Datei mit JavaScript hochladen. Öffnet ein Opfer, auch ein Workspace-Administrator, den Link, läuft das Skript im Sicherheitskontext von Plane und kann die Sitzung kompromittieren, was zu einer Kontoübernahme führt. Es ist eine Benutzerinteraktion erforderlich.
Betroffen
- Plane-Versionen vor 1.4.0
- Standardmässig selbst gehostete Installationen mit MinIO
Behoben in
- Behoben in Plane 1.4.0 (Upstream-PR #9312, Commit 9dff20e04808286acb372119d88c666b802b1d50)
Umgehung
Unbekannt.
Ausnutzung
- CISA SSVC: Exploitation-Status 'poc', automatisierbar: nein
- Zum Zeitpunkt der Recherche nicht im CISA-KEV-Katalog aufgeführt
- Kein öffentlich verfügbarer Exploit-Code identifiziert
Unsere Empfehlung
- Alle Plane-Instanzen und deren Versionen inklusive Container-Images erfassen
- Auf Plane 1.4.0 mindestens aktualisieren, vorzugsweise auf die neueste 1.4.x-Version
- Gast-Konten und kürzliche SVG- oder generische Uploads überprüfen
- Falls ein Administrator einen nicht vertrauenswürdigen Link geöffnet hat, die Sitzung prüfen und ein Passwort-Reset sowie die Invalidierung der Sitzungen in Betracht ziehen
- Den Internetzugang zu Plane-Instanzen wo möglich einschränken
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-ch8j-vr4r-qf6h github.com
- Fix commit 9dff20e github.com
- Pull Request #9312 github.com
- Plane Release v1.4.0 github.com
- OSV CVE-2026-105630 osv.dev
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 05:33.
Referenzen der NVD (5)
- https://github.com/makeplane/plane/commit/9dff20e04808286acb372119d88c666b802b1d50
- https://github.com/makeplane/plane/pull/9312
- https://github.com/makeplane/plane/releases/tag/v1.4.0
- https://github.com/makeplane/plane/security/advisories/GHSA-ch8j-vr4r-qf6h
- https://github.com/makeplane/plane/security/advisories/GHSA-ch8j-vr4r-qf6h
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.