CVE-2025-46702
ŚrednieCVSS 5.4Streszczenie
Mattermost w wersjach 10.5.x <= 10.5.5, 9.11.x <= 9.11.15, 10.8.x <= 10.8.0, 10.7.x <= 10.7.2, 10.6.x <= 10.6.5 nie egzekwuje prawidłowo uprawnień do zarządzania członkami kanału przy dodawaniu uczestników do uruchomień playbooka. Uwierzytelnieni użytkownicy z uprawnieniami na poziomie członka mogą omijać ograniczenia administratora systemu.
Ocena ryzyka
Może to prowadzić do nieautoryzowanego dostępu do wrażliwych treści kanałów, a użytkownicy-goście mogą uzyskać uprawnienia do zarządzania kanałem.
Rekomendacja
Zaktualizuj Mattermost do wersji zawierającej poprawkę egzekwowania uprawnień do zarządzania członkami kanału w funkcji uczestników uruchomienia playbooka.
Inne podatności w Mattermost
Zobacz wszystkie- CVE-2026-2455Średnie
Mattermost w wersjach 11.3.x <= 11.3.0, 11.2.x <= 11.2.2, 10.11.x <= 10.11.10 nie kanonikalizuje adresów IPv4-mapped IPv6 przed walidacją zastrzeżonych adresów IP, co pozwala atakującemu na przeprowadzenie ataków SSRF na wewnętrzne usługi za pomocą literałów IPv4-mapped IPv6, takich jak [::ffff:127.0.0.1].
- CVE-2026-24692Średnie
Mattermost w wersjach 11.3.x <= 11.3.0, 11.2.x <= 11.2.2 i 10.11.x <= 10.11.10 nie egzekwował prawidłowo uprawnień odczytu w endpointach API wyszukiwania. Użytkownicy-goście bez uprawnień odczytu mogli uzyskać dostęp do postów i plików w kanałach poprzez zapytania do API wyszukiwania.
- CVE-2026-22545Niskie
Mattermost w wersjach 10.11.x <= 10.11.10 nie waliduje metody uwierzytelniania użytkownika podczas przetwarzania zmiany typu uwierzytelniania konta. Uwierzytelniony atakujący może zmienić hasło konta bez potwierdzenia, fałszywie podając innego dostawcę uwierzytelniania.
- CVE-2026-21386Średnie
Mattermost w wersjach 11.3.x <= 11.3.0, 11.2.x <= 11.2.2, 10.11.x <= 10.11.10 nie używa spójnych odpowiedzi błędów przy obsłudze komendy /mute. Uwierzytelniony członek zespołu może enumerować prywatne kanały, do których nie ma uprawnień, poprzez różne komunikaty błędów dla nieistniejących i prywatnych kanałów.
- CVE-2026-4265Średnie
Mattermost w wersjach 11.3.x <= 11.3.0, 11.2.x <= 11.2.2, 10.11.x <= 10.11.10 nie weryfikuje uprawnień upload_file specyficznych dla zespołu, co pozwala użytkownikowi gościowi na publikowanie plików w kanałach, w których nie ma uprawnień upload_file, poprzez przesłanie pliku w zespole, w którym ma uprawnienia, i ponowne użycie metadanych pliku w żądaniu POST do innego zespołu.
- CVE-2026-2578Średnie
Mattermost w wersjach 11.3.x <= 11.3.0 nie zachowuje stanu redakcji wiadomości typu 'burn-on-read' podczas usuwania, co pozwala członkom kanału na dostęp do nieujawnionej treści wiadomości poprzez zdarzenie usunięcia posta w WebSocket. Podatność opisana w biuletynie MMSA-2026-00579.
- CVE-2026-2463Średnie
Mattermost w wersjach 11.3.x <= 11.3.0, 11.2.x <= 11.2.2, 10.11.x <= 10.11.10 nie filtruje identyfikatorów zaproszeń na podstawie uprawnień użytkownika, co pozwala zwykłym użytkownikom na obejście kontroli dostępu i zarejestrowanie nieautoryzowanych kont przy użyciu ujawnionych identyfikatorów zaproszeń podczas tworzenia zespołu.
- CVE-2026-2458Średnie
W Mattermost w wersjach 11.3.x <= 11.3.0, 11.2.x <= 11.2.2 oraz 10.11.x <= 10.11.10 nieprawidłowo weryfikowano członkostwo w zespole podczas wyszukiwania kanałów, co pozwala usuniętemu członkowi zespołu na wyliczenie wszystkich publicznych kanałów w prywatnym zespole przez endpoint API wyszukiwania kanałów.
- CVE-2026-2457Średnie
Mattermost w wersjach 11.3.x <= 11.3.0, 11.2.x <= 11.2.2 i 10.11.x <= 10.11.10 nie sanityzuje metadanych postów dostarczanych przez klienta. Uwierzytelniony atakujący może podszyć się pod innych użytkowników w osadzonych permalinkach poprzez spreparowane żądania PUT do API aktualizacji postów.
- CVE-2026-2456Średnie
Mattermost w wersjach 11.3.x <= 11.3.0, 11.2.x <= 11.2.2, 10.11.x <= 10.11.10 nie ogranicza rozmiaru odpowiedzi z punktów końcowych akcji integracyjnych. Uwierzytelniony atakujący może spowodować wyczerpanie pamięci serwera i odmowę usługi poprzez złośliwy serwer integracyjny zwracający arbitralnie dużą odpowiedź, gdy użytkownik kliknie przycisk interaktywnej wiadomości.
Oryginalny opis (angielski, źródło NVD)
Mattermost versions 10.5.x <= 10.5.5, 9.11.x <= 9.11.15, 10.8.x <= 10.8.0, 10.7.x <= 10.7.2, 10.6.x <= 10.6.5 fail to properly enforce channel member management permissions when adding participants to playbook runs. This allows authenticated users with member-level permissions to bypass system admin restrictions and add or remove users to/from private channels via the playbook run participants feature, even when the 'Manage Members' permission has been explicitly removed. This can lead to unauthorized access to sensitive channel content and allow guest users to gain channel management privileges.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS