Plane: Kontoübernahme über nicht verifizierte OAuth-Provider-E-Mail

Zusammenfassung

Plane vertraute E-Mail-Adressen, die von Gitea-OAuth und von selbst betriebenen GitLab-OAuth-Installationen zurückgegeben wurden, ohne zu prüfen, ob der Provider den Besitz der Adresse bestätigt hatte. Ein Angreifer, der ein Konto bei einem solchen Provider kontrolliert, kann eine nicht verifizierte E-Mail-Adresse eines Opfers angeben, woraufhin Plane die Anmeldung dem bestehenden lokalen Konto des Opfers zuordnet. So kann sich der Angreifer ohne Passwort beim Konto des Opfers in Plane anmelden. GitHub, GitLab.com und Google sind nicht betroffen, da diese Provider verifizierte Adressen liefern.

Betroffen

• Plane-Versionen vor 1.4.0
• Nur Installationen mit Gitea-OAuth oder selbst betriebenem GitLab-OAuth, bei denen die E-Mail-Bestätigung deaktiviert ist

Behoben in

• Plane 1.4.0 (Korrektur des Herstellers; siehe Advisory GHSA-7j95-vh8g-f365)
• Es existieren neuere 1.4.x-Versionen; vor dem Upgrade die Release-Notes prüfen
• Der genaue korrigierte Commit ist nicht in allen Quellen bestätigt (OSV nennt einen anderen Commit); in der Advisory prüfen

Umgehung

• Kein vom Hersteller dokumentierter Workaround.
• Bis zum Upgrade die Anmeldung über Gitea oder selbst betriebenes GitLab in Plane deaktivieren oder die E-Mail-Bestätigung beim OAuth-Provider erzwingen.

Ausnutzung

• CISA SSVC: Exploitation-Status 'poc', automatisierbar: ja, technische Auswirkung: total.
• Nicht als aktiv ausgenutzt gelistet; keine bestätigte Ausnutzung in freier Wildbahn gefunden.

Unsere Empfehlung

• Prüfen, ob Plane Gitea oder selbst betriebenes GitLab als OAuth-Provider verwendet; falls nicht, betrifft die Schwachstelle die Installation nicht.
• Falls betroffen, umgehend auf Plane 1.4.0 oder eine neuere stabile 1.4.x-Version aktualisieren.
• Bis dahin diese OAuth-Anmeldungen deaktivieren oder die E-Mail-Bestätigung beim Provider erzwingen.
• Letzte Anmeldungen und Kontoänderungen auf Hinweise einer Übernahme prüfen.
• Zusätzlich CVE-2026-105641 (fest hinterlegte Standardgeheimnisse in Community-Deployment-Manifesten) prüfen, das in derselben Serie behoben wurde.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-7j95-vh8g-f365 github.com
• Pull Request #9289: reject unverified OAuth provider emails github.com
• Commit b91b61c379908d9e451613dbca23fc3803e926d2 github.com
• Plane release v1.4.0 github.com
• OSV: CVE-2026-105640 osv.dev

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 07:30.