جزئیات آسیب‌پذیری
CVE-2026-104973
makeplane plane
Plane: DNS Rebinding Bypass of CVE-2026-30242 SSRF Fix in Webhook Delivery
CVSS 3.1
7.6بالا
شرح رسمی (انگلیسی)
Plane is an open-source project management tool. Prior to 1.4.0, the fix for CVE-2026-30242 validates webhook IP addresses only when the webhook is created in apps/api/plane/app/serializers/webhook.py. The delivery task in apps/api/plane/bgtasks/webhook_task.py performs a separate DNS resolution when sending the request and does not validate the resolved IP address, allowing DNS rebinding to bypass the SSRF protection. This issue is fixed in 1.4.0.
امتیازهای CVSS
| امتیاز | نسخه | منبع | بردار |
|---|---|---|---|
| 7.6بالا | 3.1 | CVEProject cvelistV5 (CNA) (GitHub_M) | CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:L/A:N |
محصولات آسیب‌پذیر
| فروشنده | محصول | نسخه‌ها | منبع |
|---|---|---|---|
| makeplane | plane | < 1.4.0 | CVEProject cvelistV5 (CNA) |
منابع و راهنماها
۵- https://github.com/cthackers/adm-zip/security/advisories/GHSA-j5f4-cc29-5x44 exploit
- https://github.com/makeplane/plane/security/advisories/GHSA-whh3-5g95-4qhc x_refsource_CONFIRM
- https://github.com/makeplane/plane/pull/9163 x_refsource_MISC
- https://github.com/makeplane/plane/commit/04622ce1188c4680951f0001e35efb342fe51615 x_refsource_MISC
- https://github.com/makeplane/plane/releases/tag/v1.4.0 x_refsource_MISC
هشدار CVEهای بعدی این محصولمحصول را دنبال کنید تا آسیب‌پذیری‌های تازه را در تلگرام بگیرید.
اطلاعات
- تاریخ انتشار
- ۱۴۰۵/۰۷/۱۳
- آخرین به‌روزرسانی
- ۱۴۰۵/۰۷/۱۶
- وضعیت
- منتشرشده
- صادرکننده (CNA)
- GitHub_M
پیش‌بینی بهره‌برداری (EPSS)
۰٫۳۳٪
احتمال بهره‌برداری در ۳۰ روز
۲۶٫۵٪
صدک (نسبت به همه‌ی CVEها)
ارزیابی SSVC (CISA)
- قابل خودکارسازی
- خیر
- وضعیت بهره‌برداری
- اثبات مفهوم
- اثر فنی
- جزئی
ضعف‌ها (CWE)
- CWE-918Server-Side Request Forgery (SSRF)