CVE-2026-105638: Login por código mágico do Plane: falta de limite de tentativas falhas
O Plane, ferramenta open source de gestão de projetos, apresenta uma falha no login por código mágico enviado por e-mail nas versões anteriores à 1.4.0. O código de uso único de seis dígitos pode ser testado repetidamente, pois as tentativas falhas não são contabilizadas, limitadas nem bloqueadas. O GitHub CNA classifica a falha como crítica, com CVSS 3.1 de 9.1, e ela foi corrigida na 1.4.0; nas fontes consultadas não há exploração confirmada.
Visão geral
O Plane é uma ferramenta open source de gestão de projetos. Segundo o aviso do GitHub GHSA-mqjv-rwgv-4gxq, as versões anteriores à 1.4.0 usam um código numérico de seis dígitos no login por código mágico enviado por e-mail, e o verificador não limita as tentativas falhas. A fraqueza está classificada como CWE-307, restrição inadequada de tentativas excessivas de autenticação.
Impacto
- O vetor CVSS 3.1 do registro indica ataque pela rede, sem privilégios nem interação do usuário, com alto impacto na confidencialidade e na integridade e sem impacto na disponibilidade.
- Inferência: a tentativa repetida de adivinhar códigos de login poderia permitir acesso à conta de outro usuário, mas as fontes não descrevem uma tomada de conta demonstrada.
Produtos e versões afetadas
- O registro descreve como afetadas as versões do Plane anteriores à 1.4.0. O limite inferior da faixa afetada é desconhecido, pois a lista estruturada de afetados está vazia.
- A correção é descrita como presente na 1.4.0, citada na versão 1.4.0.
Status de exploração
O CVE não consta no catálogo CISA KEV no registro. Nas fontes consultadas não há exploração confirmada. A probabilidade EPSS é 0.00384, com percentil 0.30549 em 2026-10-13. Trata-se de estimativa estatística e não de evidência de exploração.
Correção e mitigação
- Atualize o Plane para a versão 1.4.0 ou posterior, conforme indicado pelo projeto.
- Enquanto a atualização não for aplicada, limite a exposição da instância sempre que possível e considere restringir o acesso ao caminho de login por e-mail.
- Inferência: controles de limitação de taxa ou bloqueio em proxy reverso ou firewall de aplicação web podem reduzir o risco durante a correção, mas não são descritos no aviso.
Orientação para detecção
- Revise os logs de autenticação em busca de números incomuns de verificações falhas de código mágico, agrupadas por endereço IP de origem ou por e-mail alvo.
- Verifique se rajadas de tentativas falhas são seguidas de logins bem-sucedidos e revise essas contas.
- A disponibilidade de logs depende da implantação e pode ser necessário habilitá-los.
Limitações das informações disponíveis
- As listas estruturadas de afetados e de correções do registro estão vazias, por isso os detalhes de versão vêm da descrição e das referências de lançamento.
- O registro mostra status de origem Deferred.
- O registro não inclui análise do código de correção, telemetria de exploração além dos campos KEV e EPSS, nem o limite inferior das versões afetadas.
Perguntas frequentes
Essa vulnerabilidade está corrigida?
O registro afirma que ela está corrigida na versão 1.4.0. Atualize o Plane para a 1.4.0 ou posterior e consulte a versão e o aviso para mais detalhes.
Este CVE está sendo explorado ativamente?
O CVE não consta no CISA KEV no registro, e nas fontes consultadas não há exploração confirmada. O valor EPSS é uma estimativa e não evidência de exploração.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.