CVE-2025-65922

PLANKA 2.0.0 versiyasında X-Frame-Options və CSP frame-ancestors başlıqlarının olmaması tətbiqin zərərli iframe-lər daxilində yerləşdirilməsinə şərait yaradır. Bu, layihələrin və ya tapşırıqların istəmədən dəyişdirilməsinə səbəb olmasa da, istifadəçiləri fişinq hücumlarına məruz qoyur. Hücumçular yanlış etibar yaratmaq üçün (UI Redressing) legitim Planka tətbiqini zərərli saytda iframe vasitəsilə göstərə bilər və beləliklə, istifadəçiləri üst-üstə yerləşdirilmiş saxta formalara həssas məlumatları və ya giriş məlumatlarını daxil etməyə sövq edə bilərlər. QEYD: Tədarükçü bunu mübahisəli hesab edir, çünki "PLANKA SameSite=Strict kukilərdən istifadə edir ki, bu da çarpaz mənşəli kontekstlərdə autentifikasiyanı önləyir. Heç bir sessiya qurula bilməz. Giriş məlumatlarının ələ keçirilməsi və ya icazəsiz hərəkətlər mümkün deyil. Brauzerin Eyni Mənşə Siyasəti (Same-Origin Policy) ana səhifənin iframe məzmununa girişini bloklayır. Giriş səhifəsində clickjacking tətbiq edilə bilməz. Hər hansı giriş məlumatının tutulması hücumçu tərəfindən idarə olunan giriş və fişinqlə eyniləşən istifadəçi qarşılıqlı əlaqəsini tələb edir. Təhlükəsizlik nəticəsi tamamilə istifadəçinin ana səhifəyə olan etibarından asılıdır. Hücumçu eyni effekti tamamilə saxta giriş səhifəsi ilə də əldə edə bilər. Legitim səhifənin yerləşdirilməsi heç bir risk yaratmır, çünki brauzerlər çarpaz mənşəli iframe-lərdə URL, sertifikat və ya kilid indikatorlarını göstərmirlər."