Plane is an open-source project management tool. Prior to 1.4.0, Plane's OAuth avatar synchronization flow fetches avatar_url from provider user data through a server-side HTTP request without internal IP validation and follows redirects by default. An attacker can provide an avatar URL that redirects to an internal-only resource, such as a metadata endpoint, and Plane uploads the fetched response as a user avatar file.
The object is then exposed through /api/assets/v2/static/{asset_id}/, allowing exfiltration of internally fetched content. This issue is fixed in 1.4.0.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Нужны права
Высокие
Нужны права администратора
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Высокое
Полная утечка данных
Целостность
Низкое
Частичная модификация данных
Доступность
Нет
Нет нарушения работы
Строка CVSS v3.1
Тип уязвимости (CWE)
Уязвимые продукты
makeplane:plane
Ссылки 4
https://github.com/makeplane/plane/security/advisories/GHSA-cv9p-325g-wmv5
https://github.com/makeplane/plane/security/advisories/GHSA-cv9p-325g-wmv5
https://github.com/makeplane/plane/pull/9163
https://github.com/makeplane/plane/pull/9163
https://github.com/makeplane/plane/commit/04622ce1188c4680951f0001e35efb342fe51…
https://github.com/makeplane/plane/commit/04622ce1188c4680951f0001e35efb342fe51615
https://github.com/makeplane/plane/releases/tag/v1.4.0
https://github.com/makeplane/plane/releases/tag/v1.4.0