Plane: Rechteausweitung ermöglicht Gästen in Projekten das Ändern von Mitgliederrollen

Zusammenfassung

Plane, ein Open-Source-Werkzeug für Projektmanagement, enthält eine Schwachstelle in der Funktion zum Aktualisieren von Projektmitgliedern (ProjectMemberViewSet.partial_update). Jedes Projektmitglied, auch ein Benutzer mit der niedrigsten Rolle GUEST, kann die Rolle anderer Projektmitglieder ändern. Ein Angreifer kann so Administratoren und Mitglieder herabstufen und ihnen die Kontrolle über das Projekt entziehen. Der Angreifer benötigt ein gültiges Konto im betroffenen Projekt; das Problem ist vor allem für selbst betriebene Instanzen relevant, auf denen mehrere Teams oder externe Gäste Zugriff haben.

Betroffen

• Plane-Versionen vor 1.3.0
• Untere Grenze des betroffenen Bereichs: Unbekannt.

Behoben in

• Plane 1.3.0 (gemäss Herstellerhinweis und CVE-Eintrag)
• Korrektur-Commit 587fe76032fb69275866fdeb655699a70a83c521 (PR #8833). Prüfen, ob der Commit im eingesetzten Release enthalten ist.

Umgehung

Unbekannt.

• Bis zur Korrektur die Projektmitgliedschaft auf vertrauenswürdige Benutzer beschränken und Rollenänderungen in den Projektmitgliederdaten überprüfen.

Ausnutzung

• Bekannte Ausnutzung: kein Nachweis gefunden.
• CISA SSVC: Exploitation none, Automatable no, Technical Impact partial.
• Öffentlicher Proof of Concept: nicht verifiziert.

Unsere Empfehlung

• Selbst betriebene Plane-Instanzen auf 1.3.0 oder die neueste stabile Version aktualisieren.
• Projektmitglieder-Rollen auf unerwartete Änderungen prüfen, insbesondere herabgestufte Administratoren und Mitglieder.
• Gastzugriff und Selbstregistrierung auf öffentlich erreichbaren Instanzen einschränken.
• Das Update für Instanzen mit mehreren Teams oder externen Gästen priorisieren.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Fix commit 587fe76 (GitHub) github.com
• Pull Request #8833 (GitHub) github.com
• Plane release v1.3.0 (GitHub) github.com
• GitHub Security Advisory GHSA-494h-3rcq-5g3c github.com
• OSV record CVE-2026-105634 osv.dev

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 20:54.