PT-2026-106088 · Plane · Plane
CVSS v3.1
9.8
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
Nome do Software Vulnerável e Versões Afetadas
Plane versões anteriores a 1.4.0
Description
Os manifestos em deployments/aio/community/ e deployments/cli/community/ utilizam valores padrão fixos e publicamente conhecidos para
SECRET KEY e LIVE SERVER SECRET KEY que permanecem ativos se não forem substituídos. Embora o script setup.sh randomize os segredos para o caminho de desenvolvimento do Docker Compose, ele não o faz para as implantações aio e cli community. Um invasor com conhecimento da SECRET KEY pode forjar valores assinados pelo Django para comprometer sessões ou contas. Além disso, o conhecimento da LIVE SERVER SECRET KEY permite ignorar a autenticação do serviço ao vivo em implantações comunitárias afetadas.Recommendations
Atualize para a versão 1.4.0.
Substitua os valores padrão de
SECRET KEY e LIVE SERVER SECRET KEY por segredos únicos e aleatórios.Exploit
Correção
Using Hardcoded Credentials
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Plane