CVE-2025-65922

PLANKA 2.0.0, X-Frame-Options ve CSP frame-ancestors başlıklarından yoksundur; bu durum uygulamanın kötü amaçlı iframe'ler içine gömülmesine olanak tanır. Bu durum projelerin veya görevlerin istenmeyen şekilde değiştirilmesine yol açmasa da kullanıcıları Oltalama (Phishing) saldırılarına maruz bırakır. Saldırganlar, sahte bir güven oluşturmak için (UI Redressing) meşru Planka uygulamasını kötü amaçlı bir sitede çerçeveleyebilir ve böylece kullanıcıları üst üste bindirilmiş sahte formlara hassas bilgileri veya kimlik bilgilerini girmeye ikna edebilir. NOT: Bu durum Tedarikçi tarafından şu gerekçeyle tartışmalıdır: "PLANKA, çapraz kökenli bağlamlarda kimlik doğrulamayı önleyen SameSite=Strict çerezlerini kullanır. Hiçbir oturum kurulamaz. Kimlik bilgisi ele geçirme veya yetkisiz işlemler mümkün değildir. Tarayıcı Aynı Köken Politikası (Same-Origin Policy), ana sayfanın iframe içeriğine erişmesini engeller. Giriş sayfasında Tıklama Gaspı (Clickjacking) uygulanabilir değildir. Herhangi bir kimlik bilgisi yakalama işlemi, saldırgan kontrollü girdi ve oltalama ile eşdeğer kullanıcı etkileşimi gerektirir. Güvenlik sonucu tamamen kullanıcının ana sayfaya olan güvenine bağlıdır. Bir saldırgan aynı etkiyi tamamen sahte bir giriş sayfasıyla elde edebilir. Meşru sayfanın gömülmesi herhangi bir risk eklemez, çünkü tarayıcılar çapraz kökenli iframe'lerde URL, sertifika veya kilit göstergelerini göstermez."