PT-2026-106088

CVE-2026-105641

Publicado

2026-10-05

Atualizado

2026-10-07

Descrição por

CVSS 3.1

9.8

Crítica

MétricasAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Plane versões anteriores a 1.4.0

Description Os manifestos em deployments/aio/community/ e deployments/cli/community/ utilizam valores padrão fixos e publicamente conhecidos para SECRET KEY e LIVE SERVER SECRET KEY que permanecem ativos se não forem substituídos. Embora o script setup.sh randomize os segredos para o caminho de desenvolvimento do Docker Compose, ele não o faz para as implantações aio e cli community. Um invasor com conhecimento da SECRET KEY pode forjar valores assinados pelo Django para comprometer sessões ou contas. Além disso, o conhecimento da LIVE SERVER SECRET KEY permite ignorar a autenticação do serviço ao vivo em implantações comunitárias afetadas.

Recommendations Atualize para a versão 1.4.0. Substitua os valores padrão de SECRET KEY e LIVE SERVER SECRET KEY por segredos únicos e aleatórios.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Romain-Deperne

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-798: Use of Hard-coded Credentials

Identificadores relacionados

CVE-2026-105641