PT-2025-43671 · Plane · Plane

CVE-2025-62716 · Publicado 2025-10-24 · Atualizado 2025-10-28

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.1

Alta

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas Versões do Plane anteriores à 1.1.0

Descrição O Plane é um software de gerenciamento de projetos de código aberto. Existe uma falha no parâmetro de consulta ?next path que permite aos atacantes fornecer esquemas arbitrários, como javascript:, os quais são então passados diretamente para router.push. Isso resulta em uma vulnerabilidade de cross-site scripting (XSS), potencialmente permitindo que atacantes executem JavaScript arbitrário no navegador de uma vítima. A falha pode ser explorada sem autenticação e pode levar à divulgação de informações, elevação de privilégios e modificações nas configurações administrativas. O parâmetro vulnerável é next path. O endpoint da API envolvido não é explicitamente mencionado.

Recomendações Atualize para a versão 1.1.0 ou posterior.

Exploit

Correção

LPE

Open Redirect

XSS

Enumeração de Fraquezas

CWE-601

CWE-79

Identificadores relacionados

CVE-2025-62716

GHSA-6FJ7-XGPG-MJ6F

Produtos afetados

Plane

Referências · 8

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/62xxx/CVE-2025-62716.json · Exploit
• https://github.com/makeplane/plane/security/advisories/GHSA-6fj7-xgpg-mj6f · Nota
• https://osv.dev/vulnerability/CVE-2025-62716 · Aviso do Fabricante
• https://t.me/CVEtracker/35712 · Publicação no Telegram
• https://twitter.com/CveTodo/status/1983098688353325186 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-62716 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/1981865852849766819 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1981821937727746205 · Publicação no Twitter