CVE-2026-3637
MediumSummary
Wersje Mattermost 11.5.x do 11.5.1, 10.11.x do 10.11.13 oraz 11.4.x do 11.4.3 nie sprawdzają uprawnień do tworzenia postów podczas edycji postów. Umożliwia to uwierzytelnionemu atakującemu, któremu odebrano uprawnienia do publikowania, modyfikację istniejących postów za pomocą bezpośrednich żądań API.
Risk Assessment
Atakujący może wykorzystać tę lukę do nieautoryzowanej edycji postów, co może prowadzić do dezinformacji lub naruszenia integralności danych w organizacji.
Recommendation
Zaleca się aktualizację Mattermost do najnowszej wersji, aby usunąć tę lukę oraz wdrożenie dodatkowych kontroli dostępu do edycji postów.
Original NVD description (English source)
Mattermost versions 11.5.x <= 11.5.1, 10.11.x <= 10.11.13, 11.4.x <= 11.4.3 fail to check the create_post channel permission during post edit operations which allows an authenticated attacker with revoked posting privileges to modify their existing posts via direct API requests to the post update an