CVE-2026-105636: Plane: SSRF por redirecionamentos HTTP não validados na entrega de webhooks

Visão geral

O Plane é uma aplicação de gerenciamento de projetos de código aberto. O registro descreve uma fraqueza de server-side request forgery na tarefa de entrega de webhooks. Essa tarefa envia requisições HTTP POST para URLs de webhook configuradas pelo usuário e segue redirecionamentos sem validar para onde eles levam. A URL informada na criação do webhook é verificada contra faixas de endereços privados, de loopback, link-local e reservados, mas a verificação não é repetida no destino final após os redirecionamentos. O aviso informa que o problema está corrigido na versão 1.4.0.

Impacto

Segundo o registro, um usuário que pode criar um workspace consegue fazer o worker do Plane enviar requisições a endereços internos.
O registro afirma que os corpos de resposta dessas requisições são armazenados nos logs de webhook, que o responsável pelo workspace pode ler pela API de logs de webhooks. Isso pode expor recursos internos, incluindo metadados de instâncias de nuvem.
O vetor CVSS 3.1 do registro indica alto impacto em confidencialidade, integridade e disponibilidade, com mudança de escopo, e a pontuação é 9,9.
A classificação CWE é CWE-918, Server-Side Request Forgery.

Produtos e versões afetadas

Produto: Makeplane Plane.
Faixa afetada no registro: versões anteriores à 1.4.0.
Versão corrigida segundo a descrição e as referências do aviso: 1.4.0.
O campo de correções do registro está vazio, de modo que a versão corrigida foi obtida da descrição e das páginas de release e aviso vinculadas, e não de uma entrada estruturada de correção.

Status de exploração

O catálogo KEV da CISA não lista esta CVE no registro.
Não há exploração confirmada em ambiente real nas fontes consultadas.
Os dados SSVC do registro indicam exploração no nível de prova de conceito e automatização como não, o que sugere que trabalhos públicos de prova de conceito podem existir, mas que o problema não é automatizável segundo essa avaliação.

Correção e mitigação

Atualize o Plane para a versão 1.4.0 ou posterior, conforme indicado nas referências de release e aviso.
Enquanto a atualização não é aplicada, revise quais usuários podem criar workspaces e registrar webhooks, limitando essas permissões a contas confiáveis.
Revise as configurações de webhook existentes em busca de destinos que a organização não reconhece.
Restrinja o acesso de saída do worker do Plane a faixas internas e endereços de metadados de nuvem no nível de rede, para que o worker não alcance serviços internos sensíveis mesmo que a verificação da aplicação seja contornada. Trata-se de medida de defesa em profundidade e não substitui a atualização.

Orientação para detecção

Revise os registros de configuração de webhook em busca de destinos apontando para hosts inesperados ou criados por contas desconhecidas.
Monitore conexões de saída do worker do Plane para endereços privados, de loopback e endpoints de metadados de nuvem.
Revise os logs de entrega de webhook em busca de conteúdo incomum ou respostas grandes vindas dos destinos.
Mantenha logs da aplicação e do proxy reverso para ações de criação de workspace e gerenciamento de webhooks, para apoiar investigações.

Limitações das informações disponíveis

O registro não descreve o conjunto completo de configurações de implantação afetadas.
O registro não inclui uma entrada estruturada de correção; a correção na 1.4.0 vem da descrição e das referências vinculadas.
Foram consultadas apenas as fontes listadas no registro. Não foram realizados testes independentes.
A probabilidade EPSS é 0,0035, com percentil de 0,26736 na data do registro, o que indica baixa probabilidade modelada de exploração na janela de pontuação.
O status da fonte no registro é Deferred, por isso atualizações futuras da entrada podem ocorrer.

Perguntas frequentes

Quais versões do Plane são afetadas por esta falha de SSRF?

O registro lista as versões do Makeplane Plane anteriores à 1.4.0 como afetadas e informa que a correção está na 1.4.0.

Há exploração ativa conhecida para esta vulnerabilidade?

A CVE não aparece no catálogo KEV da CISA no registro, e não há exploração confirmada em ambiente real nas fontes consultadas. Os dados SSVC indicam nível de exploração de prova de conceito.

Qual é a principal medida de correção?

Atualize o Plane para a versão 1.4.0 ou posterior. Até lá, restrinja quem pode criar workspaces e registrar webhooks e limite o acesso de saída do worker a faixas internas.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.