PLANKA: Brute-Force-Angriff auf Zwei-Faktor-Codes über den verify-totp-Endpunkt
Zusammenfassung
PLANKA 2.2.0 bis 2.2.1 begrenzt falsche TOTP-Codes nicht, die an den API-Endpunkt verify-totp gesendet werden. Ein Angreifer, der das Passwort eines Benutzers kennt, kann das zehn Minuten gültige Pending-Token wiederverwenden und sechsstellige Codes so lange erraten, bis einer akzeptiert wird, und erhält dadurch ein vollständiges Access-Token. Die Lücke ist nur relevant, wenn Zwei-Faktor-Authentifizierung aktiviert ist und die Instanz für den Angreifer erreichbar ist.
Betroffen
- PLANKA 2.2.0 bis 2.2.1 (Community-Edition gemäss CVE-Eintrag und OSV)
- Standardkonfiguration ist laut CVE-Eintrag nicht betroffen; Installationen mit aktiviertem TOTP sind relevant
Behoben in
Unbekannt. Der Hersteller hat die korrigierte Version nicht bestätigt. Ein Commit (de4d768) wird als Patch genannt, seine Release-Zuordnung ist jedoch nicht verifiziert. Es darf nicht davon ausgegangen werden, dass 2.2.1 korrigiert ist.
Umgehung
- Keine vom Hersteller dokumentierte Massnahme gefunden.
- Anfragen an /api/access-tokens/verify-totp am Reverse Proxy ratenbegrenzen und wiederholte Fehlschläge melden.
- Zugriff auf die Instanz nach Möglichkeit per VPN oder IP-Allowlist einschränken.
Ausnutzung
- Keine bestätigte Ausnutzung bekannt. Laut CISA SSVC ist Exploitation auf none und Automatable auf no gesetzt.
- Ein öffentlicher Proof of Concept ist nicht bestätigt.
- Der EPSS-Wert beträgt 0.00317.
Unsere Empfehlung
- Prüfen, ob PLANKA aus dem Internet erreichbar ist und ob TOTP für Benutzer aktiviert ist.
- Ratenbegrenzung oder Fail2Ban-Regeln für den Endpunkt verify-totp jetzt einrichten.
- Starke Passwörter erzwingen und Logs auf wiederholte fehlgeschlagene TOTP-Versuche überwachen.
- Auf die neueste Version aktualisieren, sobald der Hersteller die korrigierte Version bestätigt, und deren Release-Notes auf den TOTP-Fix prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- NVD/CVE record references: PLANKA repository github.com
- VulnCheck advisory www.vulncheck.com
- verify-totp.js at v2.2.1 github.com
- Commit de4d768 (referenced patch, unverified) github.com
- OSV entry CVE-2026-105835 osv.dev
- PLANKA v2.2.1 release github.com
- PLANKA authentication error documentation docs.planka.cloud
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 07:27.
Referenzen der NVD (4)
- https://github.com/plankanban/planka
- https://github.com/plankanban/planka/blob/v2.2.1/server/api/controllers/access-tokens/verify-totp.js
- https://github.com/plankanban/planka/commit/de4d7688317829e2a0b665fe9dbf39eaf127b6f9
- https://www.vulncheck.com/advisories/planka-2.2.0-through-2.2.1-totp-brute-force-via-verify-totp-endpoint
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.