Plane: Fest codierte SECRET_KEY und LIVE_SERVER_SECRET_KEY in Community-Deployments
Zusammenfassung
Plane-Community-Deployments (AIO- und CLI-Manifeste) wurden mit öffentlich bekannten Standardwerten für SECRET_KEY und LIVE_SERVER_SECRET_KEY ausgeliefert, die aktiv blieben, sofern der Betreiber sie nicht überschrieben hat. Ein nicht authentifizierter Angreifer, der diese Werte kennt, kann Django-signierte Werte fälschen, um Konten oder Sessions zu kompromittieren, und die Authentifizierung des Live-Server-Dienstes umgehen. Betroffen sind nur unveränderte Community-Deployments.
Betroffen
- Plane-Versionen vor 1.4.0
- Community-AIO- und CLI-Deployments mit den Standardwerten für SECRET_KEY oder LIVE_SERVER_SECRET_KEY
Behoben in
- Plane 1.4.0 (entfernt die Standardwerte aus den AIO- und CLI-Manifesten und generiert beim ersten Start zufällige Schlüssel)
Umgehung
- Eindeutige, zufällige Werte für SECRET_KEY und LIVE_SERVER_SECRET_KEY setzen (zum Beispiel mit openssl rand -hex 32)
- Netzwerkzugriff auf die Instanz einschränken, bis die Schlüssel geändert sind
- Eine Änderung von SECRET_KEY meldet Benutzer ab und erfordert die erneute Eingabe gespeicherter Instanzeinstellungen
Ausnutzung
- CISA SSVC: Ausnutzungsstatus PoC, automatisierbar: ja, technische Auswirkung: total
- CVSS 3.1 Basiswert 9.8 (kritisch), Angriff über das Netzwerk, keine Authentifizierung und keine Benutzerinteraktion erforderlich
- Zum Zeitpunkt der Recherche keine bekannte Ausnutzung in freier Wildbahn; EPSS 0%
Unsere Empfehlung
- Alle Plane-Instanzen inventarisieren und prüfen, ob sie mit den AIO- oder CLI-Community-Manifesten bereitgestellt wurden
- Auf Plane 1.4.0 oder neuer aktualisieren
- Prüfen, dass SECRET_KEY und LIVE_SERVER_SECRET_KEY eindeutig sind und nicht den alten Standardwerten entsprechen; bei Bedarf rotieren und eine erzwungene Abmeldung einplanen
- Kontrollieren, dass das Upgrade die alten Standardwerte tatsächlich ersetzt, da das Upgrade-Verhalten nicht vollständig dokumentiert ist
- Öffentliche Erreichbarkeit von Instanzen mit den alten Standardwerten einschränken und Logs auf unerwartete Sessions oder Zugriffe auf den Live-Server prüfen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-cmwv-pjmw-8483 github.com
- Plane 1.4.0 release github.com
- Fix commit 1acc69e github.com
- Pull request #9291 github.com
- OSV entry CVE-2026-105641 osv.dev
- Rapid7 vulnerability record www.rapid7.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 21:15.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.