CVE-2026-105641: Plane: SECRET_KEY e LIVE_SERVER_SECRET_KEY fixas em manifestos de implantação community (CWE-798)
Versões do Plane anteriores à 1.4.0 trazem valores padrão fixos e publicamente conhecidos de SECRET_KEY e LIVE_SERVER_SECRET_KEY nos manifestos de implantação aio e cli community, que permanecem ativos quando o operador não os substitui. O registro informa pontuação CVSS 3.1 de 9,8 (crítica). Segundo o registro, o problema está corrigido na 1.4.0, e nenhuma exploração confirmada aparece nas fontes consultadas.
Visão geral
Plane é uma ferramenta de gestão de projetos de código aberto. Segundo o registro, os manifestos de implantação aio e cli community anteriores à 1.4.0 incluem valores padrão fixos e publicamente conhecidos para SECRET_KEY e LIVE_SERVER_SECRET_KEY. A fraqueza é classificada como CWE-798, Uso de Credenciais Codificadas no Código.
Impacto
- O conhecimento de SECRET_KEY pode permitir que um atacante forje valores assinados pelo Django, com possível comprometimento de contas ou sessões.
- O conhecimento de LIVE_SERVER_SECRET_KEY pode permitir contornar a autenticação do serviço ao vivo em implantações community não alteradas.
- O registro atribui o vetor CVSS 3.1 AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H e impacto técnico SSVC total.
Produtos e versões afetadas
- Makeplane Plane em versões anteriores à 1.4.0, conforme a entrada de afetados do registro.
- A exposição é específica das implantações aio e cli community que mantêm os segredos padrão. O registro informa que o script setup.sh randomiza os segredos apenas no caminho de desenvolvimento com Docker Compose.
Status de exploração
O registro indica que esta CVE não consta no catálogo KEV da CISA. Nenhuma exploração confirmada na natureza aparece nas fontes consultadas. Os metadados SSVC registram a exploração como 'poc', e a probabilidade EPSS é 0,0046 (percentil 0,38152) com data de 2026-10-13. Esses valores indicam probabilidade e status de prova de conceito, não exploração ativa confirmada.
Correção e mitigação
- Atualize o Plane para a versão 1.4.0 ou posterior, conforme informado no registro e na referência de release.
- Trate SECRET_KEY e LIVE_SERVER_SECRET_KEY em implantações aio ou cli community não alteradas como comprometidas e substitua-as por valores únicos e gerados aleatoriamente.
- Considere invalidar as sessões existentes após a rotação dos segredos.
- Confirme que as configurações em execução não mantêm mais os valores padrão dos manifestos.
Orientações de detecção
- Faça o inventário das implantações do Plane e identifique quais foram criadas a partir dos manifestos aio ou cli community.
- Verifique se os segredos configurados coincidem com os valores padrão publicamente documentados, sem compartilhar ou copiar esses valores.
- Analise os registros de autenticação e de sessão em busca de atividade inesperada, lembrando que sessões forjadas podem não deixar rastros evidentes.
Limitações das informações disponíveis
- O registro não descreve a alteração de código feita na 1.4.0 nem se a atualização, por si só, substitui os segredos existentes.
- A lista de correções do registro está vazia, então a versão corrigida vem da descrição e da referência de release.
- O registro apresenta status de origem Deferred.
- Não se sabe se as implantações afetadas estão expostas à internet.
Perguntas frequentes
Quais versões do Plane são afetadas pela CVE-2026-105641?
O registro lista como afetadas as versões do Makeplane Plane anteriores à 1.4.0. A exposição se refere às implantações aio e cli community que mantêm os valores padrão de SECRET_KEY e LIVE_SERVER_SECRET_KEY.
Esta vulnerabilidade está sendo explorada ativamente?
O registro mostra que a CVE não consta no catálogo KEV da CISA, e nenhuma exploração confirmada na natureza aparece nas fontes consultadas. Os metadados SSVC registram status de prova de conceito.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.