CVE-2026-28759
MediumSummary
Wersje Mattermost 11.5.x do 11.5.1, 10.11.x do 10.11.13 oraz 11.4.x do 11.4.3 nie weryfikują, czy zdalny klaster ma dostęp do kanału przed przetworzeniem żądań usunięcia członkostwa podczas synchronizacji członkostwa w kanałach współdzielonych. To pozwala złośliwemu zdalnemu klastrowi na usunięcie dowolnego użytkownika z dowolnego kanału.
Risk Assessment
Organizacja może być narażona na nieautoryzowane usunięcie użytkowników z kanałów, co może prowadzić do utraty danych i zakłócenia komunikacji wewnętrznej.
Recommendation
Zaleca się aktualizację Mattermost do najnowszej wersji, aby zabezpieczyć się przed tą podatnością oraz wdrożenie dodatkowych mechanizmów weryfikacji dostępu do kanałów.
Original NVD description (English source)
Mattermost versions 11.5.x <= 11.5.1, 10.11.x <= 10.11.13, 11.4.x <= 11.4.3 fail to validate that a remote cluster has access to a channel before processing membership removal requests during shared channel membership sync, which allows a malicious remote cluster to remove any user from any channel,