CVE-2026-16047
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
Mattermost w wersjach 11.7.x <= 11.7.6, 10.11.x <= 10.11.21, 11.8.x <= 11.8.3 nie weryfikuje, czy użytkownik ma dostęp do odczytu kanału przed powiązaniem z nim tablicy. Umożliwia to uwierzytelnionemu atakującemu odkrycie członkostwa prywatnych kanałów w tym samym zespole poprzez tworzenie, modyfikowanie, importowanie lub masowe tworzenie tablic z dowolnym channelId.
Ocena ryzyka
Ryzyko obejmuje ujawnienie informacji o członkostwie prywatnych kanałów, co może naruszyć poufność komunikacji w organizacji.
Rekomendacja
Zaleca się aktualizację Mattermost do wersji, która naprawia tę podatność (zgodnie z zaleceniami producenta).
Oryginalny opis (angielski, źródło NVD)
Mattermost versions 11.7.x <= 11.7.6, 10.11.x <= 10.11.21, 11.8.x <= 11.8.3 fail to validate that users have read access to a channel before linking a board to it, which allows an authenticated attacker to discover the membership of private channels on the same team via creating, patching, importing, or bulk-creating boards with an arbitrary channelId. Mattermost Advisory ID: MMSA-2026-00674