Plane: Kreuzprojekt-Übernahme von Assets im Bulk-Asset-Endpunkt

Zusammenfassung

Plane, ein Open-Source-Tool für Projektmanagement, enthält eine unsichere direkte Objektreferenz (CWE-639) im Bulk-Asset-Endpunkt (ProjectBulkAssetEndpoint.post). Ein authentifizierter Guest im Workspace kann Asset-UUIDs aus einem anderen Projekt im selben Workspace angeben und diese einer Entität zuweisen, die er kontrolliert. Plane stellt danach eine signierte Download-URL für die übernommene Datei bereit, wodurch Dateien aus anderen Projekten offengelegt werden können. Der CVSS-v3.1-Basiswert beträgt 9.6 (Critical).

Betroffen

• Plane-Versionen vor 1.4.0

Behoben in

• Plane 1.4.0 (Herstellerberatung GHSA-r2hw-fff3-pjwp)

Umgehung

Unbekannt.

Ausnutzung

• CISA-SSVC-Bewertung: Ausnutzungsstatus poc, automatisierbar nein, technische Auswirkung total.
• In den geprüften Quellen ist keine Ausnutzung in freier Wildbahn bestätigt.

Unsere Empfehlung

• Plane auf Version 1.4.0 oder neuer aktualisieren.
• Bis zur Aktualisierung prüfen, welche Benutzer die Guest-Rolle in den einzelnen Workspaces haben, und nicht benötigte entfernen.
• Prüfen, ob die Plane-Instanz aus dem Internet erreichbar ist und ob Gast-Einladungen für nicht vertrauenswürdige Personen offen sind.
• Zugriffsprotokolle auf unerwartete Bulk-Asset-Anfragen prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-r2hw-fff3-pjwp github.com
• Fix commit 15e8357 (apps/api/plane/app/views/asset/v2.py) github.com
• Pull Request #9495 (follow-up fix to bulk asset association) github.com
• Plane release v1.4.0 github.com
• OSV entry CVE-2026-105637 osv.dev

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 23:25.