プラットフォーム
nodejs
コンポーネント
plane
修正版
1.3.1
CVE-2026-27949 affects Plane, an open-source project management tool. This vulnerability involves the exposure of a user's email address in the URL query parameters during authentication error handling, specifically when an invalid magic code is submitted. This constitutes a PII disclosure due to the insecure practice of transmitting sensitive information via GET requests. The vulnerability impacts versions 1.0.0 through 1.2.9 and is resolved in version 1.3.0.
CVE-2026-27949 は、1.3.0 以前のバージョンのオープンソースプロジェクト管理ツール Plane に影響を与えます。この脆弱性は、認証フロー内に存在し、エラー処理時（無効なマジックコードが送信された場合など）に、ユーザーのメールアドレスを URL のクエリパラメータとして含めてしまうものです。この不安全な設計プラクティスは、GET リクエストのクエリ文字列を介して個人を特定できる情報 (PII) を送信するものであり、攻撃者がこの機密情報を傍受またはログに記録する可能性があります。暴露はエラーコンテキスト内の URL に限定されますが、メールアドレスの包含は、URL がサーバーログに保存されたり、転送中に傍受されたりする環境において、ユーザーのプライバシーリスクとなります。この脆弱性の重大度は、PII の開示の可能性と、比較的容易な悪用可能性に基づいています。
この脆弱性は、無効なマジックコードで Plane に認証を試みることで悪用されます。その結果、URL にユーザーのメールアドレスが含まれます。攻撃者は、この URL を傍受する（中間者攻撃やサーバーログの分析など）ことで、メールアドレスを取得できます。悪用には、事前の認証は必要ありませんが、ネットワークトラフィックを観察したり、サーバーログにアクセスしたりする機能が必要です。悪用の可能性は、無効なマジックコードで認証を試みるユーザーの頻度と、環境内の URL の可視性に依存します。
Organizations utilizing Plane for project management, particularly those with sensitive user data, are at risk. This includes teams relying on Plane for internal collaboration and those hosting Plane instances in shared environments where URL observation might be easier.
• nodejs / server:
find /opt/plane -path '*/packages/utils/src/auth.ts' -print• generic web:
curl -I 'https://your-plane-instance/auth?magic_code=invalid' | grep Emaildisclosure
エクスプロイト状況
EPSS
0.03% (10% パーセンタイル)
CISA SSVC
CVSS ベクトル
CVE-2026-27949 の解決策は、Plane をバージョン 1.3.0 以降にアップグレードすることです。このバージョンは、認証エラー処理中に URL にメールアドレスを含めることを削除することで、脆弱性を修正します。システム管理者と Plane ユーザーは、リスクを軽減するために、できるだけ早くインストールをアップグレードすることを強くお勧めします。さらに、サーバーログを調べて、URL にメールアドレスが露出しているかどうかを確認し、その情報を削除または匿名化する手順を実行することをお勧めします。堅牢なネットワークセキュリティポリシー（HTTPS 暗号化など）を実装することも、転送中のデータの機密性を保護するのに役立ちます。
Actualice a la versión 1.3.0 o superior para evitar la exposición de la dirección de correo electrónico del usuario en la URL durante el manejo de errores. Esta actualización corrige la vulnerabilidad al evitar la inclusión de la dirección de correo electrónico en los parámetros de la URL.
脆弱性分析と重要アラートをメールでお届けします。
これは、認証エラー時に Plane の URL にユーザーのメールアドレスを公開するセキュリティ脆弱性です。
すぐにバージョン 1.3.0 以降にアップグレードしてください。
認証エラーのコンテキストで URL にメールアドレスが含まれているかどうかをサーバーログで確認してください。
必ずしも必要ではありませんが、一般的なセキュリティプラクティスです。
現在、特定のツールはありませんが、サーバーログを手動で確認することが効果的です。