Plane: Server-Side Request Forgery über HTTP-Redirect in der Webhook-Zustellung
Zusammenfassung
Plane, ein Open-Source-Tool für Projektmanagement, prüft beim Zustellen von Webhooks die Ziele von Weiterleitungen nicht. Ein authentifizierter Benutzer, der einen Workspace erstellen kann, kann einen Webhook auf einen öffentlichen Endpunkt registrieren, der auf eine interne Adresse weiterleitet, sodass der Plane-Worker interne Ressourcen wie Cloud-Metadaten abruft. Der Antwortinhalt wird in den Webhook-Logs gespeichert, die der Angreifer über die Workspace-Webhook-Logs-API auslesen kann.
Betroffen
- Plane-Versionen vor 1.4.0
- Sowohl selbst gehostete als auch Cloud-Installationen sind betroffen; selbst gehostete Instanzen müssen vom Betreiber geprüft werden
Behoben in
- Behoben in Plane 1.4.0 (Fix-Commit 04622ce1188c4680951f0001e35efb342fe51615, PR #9163)
- Spätere Versionen wie 1.4.3 enthalten weitere Sicherheitsfixes
Umgehung
Unbekannt.
- Erstellung von Workspaces und Webhooks auf vertrauenswürdige Benutzer beschränken, bis das Update abgeschlossen ist
- Ausgehenden Datenverkehr des Plane-Workers zu Cloud-Metadaten-Endpunkten und internen Netzen blockieren
Ausnutzung
- CISA SSVC: Exploitation-Status 'poc', Automatisierbarkeit 'no', technische Auswirkung 'total'
- Zum Zeitpunkt der Recherche wurde kein öffentlicher Proof of Concept und keine Ausnutzung in freier Wildbahn gefunden
- KEV-Eintrag: nicht gefunden
Unsere Empfehlung
- Alle selbst gehosteten Plane-Instanzen auf 1.4.0 oder neuer aktualisieren, vorzugsweise auf die neueste Patch-Version
- Erstellung von Workspaces bis zum Patch auf vertrauenswürdige Benutzer beschränken
- IMDSv2 oder ein gleichwertiges Verfahren auf Cloud-VMs mit Plane erzwingen
- Webhook-Logs auf unerwartete interne Antworten prüfen und Zugriffe auf Metadaten-Endpunkte kontrollieren
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Plane 1.4.0 release github.com
- Fix commit 04622ce github.com
- Pull request #9163 github.com
- GitHub Security Advisory GHSA-mq87-52pf-hm3h github.com
- OSV entry CVE-2026-105636 osv.dev
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 15:43.
Referenzen der NVD (5)
- https://github.com/makeplane/plane/commit/04622ce1188c4680951f0001e35efb342fe51615
- https://github.com/makeplane/plane/pull/9163
- https://github.com/makeplane/plane/releases/tag/v1.4.0
- https://github.com/makeplane/plane/security/advisories/GHSA-mq87-52pf-hm3h
- https://github.com/makeplane/plane/security/advisories/GHSA-mq87-52pf-hm3h
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.