Plane: Fehlende Zugriffskontrolle in joinProject erlaubt Mitgliedern den Beitritt zu privaten Projekten
Zusammenfassung
Plane ist ein Open-Source-Tool für das Projektmanagement. In Versionen vor 1.4.0 erlaubt die GraphQL-Mutation joinProject jedem Workspace-Mitglied, sich selbst zu jedem Projekt im selben Workspace hinzuzufügen, auch zu privaten (secret) Projekten, und zwar mit vollen Member-Rechten. Der Resolver prüft nur die Workspace-Mitgliedschaft und die Rolle, nicht die Sichtbarkeit des Zielprojekts. Ein Angreifer mit einem Konto mit niedrigen Rechten kann daher vertrauliche Daten in privaten Projekten lesen und ändern.
Betroffen
- Plane (makeplane/plane) Versionen vor 1.4.0
Behoben in
- Behoben in Version 1.4.0
Umgehung
Unbekannt.
- In den Quellen ist kein Workaround dokumentiert. Schränken Sie Workspace-Einladungen auf vertrauenswürdige Benutzer ein, bis das Update installiert ist.
Ausnutzung
- CISA SSVC: Exploitation 'poc', automatisierbar: nein, technische Auswirkung: total.
- In den Quellen ist kein öffentlicher Exploit bestätigt, und die CVE ist nicht im CISA-KEV-Katalog aufgeführt.
- Ausnutzung in freier Wildbahn: unbekannt.
Unsere Empfehlung
- Aktualisieren Sie Plane auf Version 1.4.0 oder eine neuere 1.4.x-Version und prüfen Sie deren Changelog.
- Überprüfen Sie die Mitglieder privater Projekte auf unerwartete Konten.
- Beschränken Sie Workspace-Einladungen auf vertrauenswürdige Benutzer und überwachen Sie Änderungen an Projektmitgliedschaften.
- Prüfen Sie, ob die Instanz aus dem Internet erreichbar ist, da dies das Risiko erhöht.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-45hc-q4mw-jhxm github.com
- Plane v1.4.0 release github.com
- Fix commit e1ef420 github.com
- Pull request #9333 github.com
- OSV entry CVE-2026-105632 osv.dev
- Strix CVE-2026-105632 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 05:34.
Referenzen der NVD (5)
- https://github.com/makeplane/plane/commit/e1ef42023ab66b5e722a8750e1bc5ba0d413a3ee
- https://github.com/makeplane/plane/pull/9333
- https://github.com/makeplane/plane/releases/tag/v1.4.0
- https://github.com/makeplane/plane/security/advisories/GHSA-45hc-q4mw-jhxm
- https://github.com/makeplane/plane/security/advisories/GHSA-45hc-q4mw-jhxm
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.