PT-2026-106087 · Plane+2 · Plane+2
CVSS v3.1
9.1
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N |
Nome do Software Vulnerável e Versões Afetadas
Plane versões anteriores a 1.4.0
Description
O Plane confia em endereços de e-mail retornados pelo Gitea OAuth e por implantações do GitLab OAuth autogerenciadas onde a confirmação de e-mail está desativada, sem verificar se o provedor autenticou a propriedade do endereço. Um invasor pode definir o e-mail não verificado de uma identidade OAuth para o endereço de uma vítima, o qual o sistema associa diretamente à conta local existente da vítima. Isso permite que um invasor acesse a conta da vítima sem saber a senha.
Recommendations
Atualizar para a versão 1.4.0.
Exploit
Correção
Authentication Bypass by Spoofing
Improper Authentication
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Gitlab
Gitea
Plane