Plane: Vorauthentifizierte Übernahme von Workspace-Einladungen durch E-Mail-Squatting
Zusammenfassung
Plane, ein Open-Source-Tool für Projektmanagement, erlaubt es einem nicht authentifizierten Angreifer, ein Konto mit der E-Mail-Adresse eines Ziels zu registrieren, das eine ausstehende Workspace-Einladung hat. Vor dem Fix wurden die Einladungsliste und das Einladungs-Token dem angemeldeten Konto offengelegt, sodass der Angreifer die Einladung im Namen des Ziels annehmen und dem Workspace mit der eingeladenen Rolle beitreten konnte. Voraussetzung ist die Kenntnis der E-Mail-Adresse des Ziels und eine ausstehende Einladung für diese Adresse.
Betroffen
- Plane-Versionen vor 1.4.0
Behoben in
- Behoben in Plane 1.4.0
- Upstream-Fix: Commit 6220ba99 (prüfen, welcher Commit im Tag 1.4.0 enthalten ist, da OSV einen anderen Fix-Commit auflistet)
- Spätere 1.4.x-Versionen enthalten weitere Sicherheitskorrekturen
Umgehung
Unbekannt.
Ausnutzung
- Zum Zeitpunkt der Recherche wurde keine Ausnutzung in freier Wildbahn gefunden.
- Kein öffentlicher Proof of Concept gefunden; die Suche war nicht erschöpfend.
- CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung total.
Unsere Empfehlung
- Selbst gehostete Plane-Installationen auf die neueste 1.4.x-Version aktualisieren.
- Bis zur Aktualisierung den Zugriff auf interne Netzwerke oder VPN beschränken und offene Selbstregistrierung deaktivieren, sofern die Version dies erlaubt.
- Ausstehende Workspace-Einladungen und Workspace-Mitgliedschaften auf unerwartete Einträge prüfen und diese entfernen.
- Auf neu erstellte Konten achten, deren E-Mail-Adressen eingeladenen Adressen entsprechen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Plane 1.4.0 release github.com
- GitHub Security Advisory GHSA-4vj8-p63v-8p24 github.com
- Fix commit 6220ba99 github.com
- Pull request #9297 github.com
- OSV CVE-2026-105639 osv.dev
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 21:14.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.