CVEウォッチ

CVE-2026-30242: オープンソースプロジェクト管理ツールPlaneにおけるSSRFの脆弱性

March 7, 2026 ·

概要

CVE-2026-30242は、オープンソースのプロジェクト管理ツール「Plane」に存在するServer-Side Request Forgery (SSRF) の脆弱性です。

バージョン1.2.3より前のPlaneにおいて、Webhook URLの検証が不完全であるため、ワークスペースの管理者権限を持つ攻撃者が内部ネットワークアドレスへのリクエストを生成させ、その応答を読み取ることが可能と報告されています。この脆弱性はバージョン1.2.3で修正されています。

影響範囲

  • 製品名: Plane (オープンソースプロジェクト管理ツール)
  • 影響を受けるバージョン: バージョン1.2.3より前のすべてのバージョン
  • 修正済みバージョン: バージョン1.2.3以降

想定される影響

攻撃者は、Planeサーバーを介して組織の内部ネットワーク内のシステムに対してリクエストを送信し、その応答内容を読み取ることが可能になる可能性があります。

これにより、内部ネットワークの構成情報の取得、認証情報の漏洩、または内部システムへの不正な操作（ポートスキャン、サービス検出など）につながる恐れがあります。機密情報の漏洩や、さらなる攻撃の足がかりとして悪用されるリスクが考えられます。

攻撃成立条件・悪用状況

攻撃成立条件

  • 攻撃者は、脆弱なPlaneインスタンスのワークスペースにおいて「管理者 (ADMIN)」ロールを持っている必要があります。
  • Webhook機能が有効になっている環境である必要があります。

悪用状況

現在のところ、この脆弱性が実際に悪用されたという具体的な報告は確認されていません。

推奨対策

最優先で実施すべき対策

  • Planeのアップデート: 直ちにPlaneをバージョン1.2.3以降にアップデートしてください。このバージョンで脆弱性が修正されています。

一時的な緩和策

  • ワークスペースの管理者権限を持つユーザーを厳格に管理し、信頼できないユーザーに管理者権限を付与しないようにしてください。
  • 可能であれば、Planeが配置されているサーバーから内部ネットワークへのアクセスを、ファイアウォールルールなどで最小限に制限することを検討してください。ただし、これは根本的な解決策ではありません。

確認方法

現在利用しているPlaneのバージョンを確認してください。バージョンが1.2.3未満である場合は、本脆弱性の影響を受ける可能性があります。

参考情報