CVE-2026-105640: Plane: Autenticação Imprópria por E-mail OAuth Não Verificado (Gitea e GitLab)

Visão geral

O Plane é uma ferramenta de gestão de projetos de código aberto. Segundo o aviso de segurança do GitHub, versões anteriores à 1.4.0 confiam em endereços de e-mail fornecidos pelo OAuth do Gitea e pelo OAuth do GitLab self-managed quando a confirmação de e-mail está desabilitada, sem verificar se o provedor comprovou a posse do endereço. O registro classifica a fraqueza como CWE-287, Autenticação Imprópria.

Impacto

O aviso afirma que um atacante pode entrar na conta Plane de uma vítima sem conhecer a senha dela.
O registro atribui pontuação base 9.1 no CVSS 3.1, com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N, refletindo alto impacto em confidencialidade e integridade.
O vetor não indica impacto em disponibilidade.

Produtos e versões afetadas

Produto: Plane, versões anteriores à 1.4.0, conforme a descrição.
São descritas como afetadas as implantações que usam login OAuth do Gitea ou do GitLab self-managed com confirmação de e-mail desabilitada.
GitHub, GitLab.com e Google são descritos como não afetados por retornarem endereços de e-mail verificados.
Os campos de versões afetadas e correções do registro estão vazios, portanto qualquer detalhe de versão além da descrição é desconhecido.

Status de exploração

O registro mostra que este CVE não está listado no catálogo KEV da CISA, por isso não se afirma exploração ativa.
Nenhuma exploração confirmada aparece nas fontes consultadas.
O registro indica probabilidade EPSS de 0.00384 (percentil 0.3055) em 2026-10-13. Trata-se de estimativa estatística, não de evidência de ataques.

Correção e mitigação

Atualize o Plane para a versão 1.4.0 ou superior, conforme as notas de versão e o aviso de segurança.
Se não for possível atualizar imediatamente, revise quais provedores OAuth estão habilitados, especialmente o login via Gitea ou GitLab self-managed sem verificação de e-mail.
No GitLab self-managed, habilitar a confirmação de e-mail endereça a condição descrita no aviso. Isto é uma inferência a partir da descrição, não uma instrução expressa do fornecedor.
Revise as contas existentes vinculadas por esses provedores à procura de identidades desconhecidas.

Orientações de detecção

Analise os logs de autenticação em busca de acessos via OAuth do Gitea ou do GitLab que não correspondam ao padrão habitual do usuário.
Procure identidades OAuth recém-criadas ou recém-vinculadas cujo e-mail corresponda a uma conta local existente.
Correlacione eventos de vinculação com atividade de sessão posterior e solicitações de redefinição de senha na mesma conta.

Limitações das informações disponíveis

O registro não descreve a alteração de código na 1.4.0. O pull request e o commit estão listados, mas não foram analisados aqui.
Os campos de versões afetadas e correções estão vazios, portanto a faixa de versões se baseia somente na descrição.
Não se sabe se uma implantação específica corresponde às condições de provedor e configuração vulneráveis.

Perguntas frequentes

Esta falha afeta login com GitHub, GitLab.com ou Google no Plane?

A descrição afirma que GitHub, GitLab.com e Google não são afetados, porque esses provedores retornam endereços de e-mail verificados.

Qual versão corrige o CVE-2026-105640?

O registro indica que o problema está corrigido na versão 1.4.0 do Plane. Atualizar para essa versão ou superior é a principal medida de correção.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.