CVE-2024-47401

ŚrednieCVSS 4.3

Opublikowano: 29/10/2024(UTC)Zaktualizowano: 17/06/2026(UTC)Przetłumaczono: 31/10/2026(UTC)NVD NIST

Streszczenie

Mattermost w wersjach 9.10.x <= 9.10.2, 9.11.x <= 9.11.1 oraz 9.5.x <= 9.5.9 nie zapobiega wyświetlaniu szczegółowych komunikatów błędów w Playbooks. Atakujący może wysłać specjalnie spreparowane żądanie do Playbooks, aby wygenerować dużą odpowiedź i wzmocnić odpowiedź GraphQL, co może doprowadzić do awarii aplikacji.

Ocena ryzyka

Możliwość zdalnego wywołania awarii aplikacji (Denial of Service) przez atakującego z dostępem do Playbooks, co może zakłócić pracę zespołów korzystających z Mattermost.

Rekomendacja

Zaktualizuj Mattermost do wersji nowszej niż 9.10.2, 9.11.1 lub 9.5.9 (zgodnie z zaleceniami producenta). Rozważ ograniczenie dostępu do Playbooks dla niezaufanych użytkowników.

Inne podatności w Mattermost Playbooks

CVE-2026-9812Średnie
Mattermost w wersjach 11.9.x <= 11.9.0, 11.8.x <= 11.8.4, 11.7.x <= 11.7.7 oraz 10.11.x <= 10.11.22 nie weryfikuje, czy pole właściwości należy do określonego przebiegu (run) przed aktualizacją jego wartości. Uwierzytelniony użytkownik z uprawnieniami do zarządzania właściwościami przebiegu może zawiesić wtyczkę Playbooks poprzez żądanie REST odwołujące się do pola właściwości należącego do innego przebiegu.

Oryginalny opis (angielski, źródło NVD)

Mattermost versions 9.10.x <= 9.10.2, 9.11.x <= 9.11.1 and 9.5.x <= 9.5.9 fail to prevent detailed error messages from being displayed in Playbooks which allows an attacker to generate a large response and cause an amplified GraphQL response which in turn could cause the application to crash by sending a specially crafted request to Playbooks.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS