CVE-2026-27949
NiskieCVSS 2.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
Plane przed wersją 1.3.0 zawiera podatność w przepływie uwierzytelniania, gdzie adres e-mail użytkownika jest dołączany jako parametr zapytania w URL podczas obsługi błędów (np. gdy zostanie przesłany nieprawidłowy kod magiczny). Przekazywanie danych osobowych (PII) za pomocą ciągów zapytania w żądaniach GET jest uznawane za niebezpieczną praktykę projektową. Kod znajduje się w module narzędzi uwierzytelniania (packages/utils/src/auth.ts).
Ocena ryzyka
Adres e-mail użytkownika może zostać ujawniony w logach serwera, historii przeglądarki lub podczas przekazywania przez referer, co narusza prywatność użytkownika.
Rekomendacja
Zaleca się aktualizację Plane do wersji 1.3.0 lub nowszej.
Oryginalny opis (angielski, źródło NVD)
Plane is an an open-source project management tool. Prior to 1.3.0, a vulnerability was identified in Plane's authentication flow where a user's email address is included as a query parameter in the URL during error handling (e.g., when an invalid magic code is submitted). Transmitting personally identifiable information (PII) via GET request query strings is classified as an insecure design practice. The affected code path is located in the authentication utility module (packages/utils/src/auth.ts). This vulnerability is fixed in 1.3.0.