प्लेन उपयोगकर्ता का ईमेल उजागर करता है (PII और क्रेडेंशियल का भाग) GET पैरामीटर में

यह भेद्यता हमलावरों को उपयोगकर्ता के ईमेल पते को उजागर करने की अनुमति देती है, जो PII का एक संवेदनशील टुकड़ा है। यह जानकारी फ़िशिंग हमलों, स्पैम या अन्य दुर्भावनापूर्ण गतिविधियों के लिए इस्तेमाल की जा सकती है। चूंकि ईमेल पता URL में उजागर होता है, इसलिए यह भेद्यता आसानी से खोजा जा सकता है और इसका फायदा उठाया जा सकता है। इस भेद्यता का प्रभाव मध्यम है, क्योंकि यह डेटा उल्लंघन का कारण बन सकता है, लेकिन सिस्टम तक सीधी पहुंच प्रदान नहीं करता है।

Organizations utilizing Plane for project management, particularly those with sensitive user data, are at risk. This includes teams relying on Plane for internal collaboration and those hosting Plane instances in shared environments where URL observation might be easier.

• nodejs / server:

find /opt/plane -path '*/packages/utils/src/auth.ts' -print

• generic web:

curl -I 'https://your-plane-instance/auth?magic_code=invalid' | grep Email

1. 2026-04-07Disclosure

   disclosure

1. आरक्षित2026-02-25
2. प्रकाशित2026-04-07
3. संशोधित2026-04-08
4. EPSS अद्यतन2026-04-15

Plane के संस्करण 1.3.0 में अपग्रेड करना इस भेद्यता को ठीक करने का सबसे प्रभावी तरीका है। यदि अपग्रेड संभव नहीं है, तो एक वेब एप्लिकेशन फ़ायरवॉल (WAF) का उपयोग करके URL में ईमेल पते को फ़िल्टर किया जा सकता है। इसके अतिरिक्त, त्रुटि हैंडलिंग को इस तरह से संशोधित किया जा सकता है कि ईमेल पते को URL में उजागर न किया जाए। अपग्रेड के बाद, यह सुनिश्चित करने के लिए कि भेद्यता ठीक हो गई है, त्रुटि हैंडलिंग प्रक्रिया का परीक्षण करें।