CVE-2026-16045
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
Mattermost w wersjach 11.7.x <= 11.7.6, 10.11.x <= 10.11.21 nie ogranicza endpointów deautoryzacji OAuth i zarządzania osobistymi tokenami dostępu do bezpośrednich sesji użytkownika. Umożliwia to aplikacji OAuth z delegowanym tokenem użytkownika odwołanie autoryzacji lub tokenów użytkownika dla innych integracji przez endpointy zarządzania kontem.
Ocena ryzyka
Ryzyko obejmuje nieautoryzowane odwołanie autoryzacji lub tokenów, co może zakłócić działanie integracji i naruszyć bezpieczeństwo kont.
Rekomendacja
Zaleca się aktualizację Mattermost do wersji, która naprawia tę podatność (zgodnie z zaleceniami producenta).
Oryginalny opis (angielski, źródło NVD)
Mattermost versions 11.7.x <= 11.7.6, 10.11.x <= 10.11.21 Mattermost failed to restrict OAuth deauthorization and personal access token management endpoints to direct user sessions, which allowed an OAuth app with a delegated user token to revoke the user's authorizations or tokens for other integrations via account-management endpoints.. Mattermost Advisory ID: MMSA-2026-00704