JVNDB-2026-006746

planeにおけるサーバサイドのリクエストフォージェリの脆弱性

Planeはオープンソースのプロジェクト管理ツールです。バージョン1.2.3より前のplane/app/serializers/webhook.pyにおけるWebhook URLの検証はip.is_loopbackのみをチェックしていました。このため、ワークスペースの管理者（ADMIN）権限を持つ攻撃者がプライベート／内部ネットワークのアドレス（10.x.x.x、172.16.x.x、192.168.x.x、169.254.169.254等）を指すWebhookを作成できてしまいます。Webhookイベントが発生すると、サーバーはこれらの内部アドレスにリクエストを送信し、そのレスポンスを保存します。これにより、レスポンスの完全な読み取りが可能なSSRF（サーバーサイドリクエストフォージェリ）が実現されます。この問題はバージョン1.2.3で修正されました。

plane

• plane 1.2.3 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃により、他のソフトウェアにも影響が及ぶ可能性があります。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : SSRF via Incomplete IP Validation in Webhook URL Serializer  Advisory  makeplane/plane  GitHub

1. サーバサイドのリクエストフォージェリ(CWE-918) [その他]

1. CVE-2026-30242

1. National Vulnerability Database (NVD) : CVE-2026-30242
2. 関連文書 : Release v1.2.3  makeplane/plane  GitHub

• [2026年03月12日]
    掲載