CVE-2026-16049
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
Wtyczka GitLab dla Mattermost (wersje <=11.8, 10.20.11, 11.5.7.0) nie weryfikuje uprawnień do kanału podczas przetwarzania żądań API z parametrem post_id oraz nie waliduje parametru web_url względem skonfigurowanej instancji GitLab. Umożliwia to uwierzytelnionemu atakującemu wstrzykiwanie wiadomości botów z dowolnymi adresami URL do kanałów, do których nie ma dostępu, przez endpointy createIssue i attachCommentToIssue.
Ocena ryzyka
Ryzyko obejmuje nieautoryzowane wysyłanie wiadomości do kanałów, do których atakujący nie ma dostępu, co może prowadzić do phishingu lub rozprzestrzeniania złośliwych treści w organizacji.
Rekomendacja
Zaleca się aktualizację wtyczki GitLab dla Mattermost do wersji, która naprawia tę podatność (zgodnie z zaleceniami producenta).
Oryginalny opis (angielski, źródło NVD)
Mattermost Plugins versions <=11.8 10.20.11 11.5.7.0 _The Mattermost GitLab plugin fails to verify channel permissions when processing API requests with a caller-supplied_ {{post_id}}_, and fails to validate the_ {{web_url}} _parameter against the configured GitLab instance, which allows an authenticated attacker to inject bot-authored messages containing arbitrary URLs into channels they do not have access to via the_ {{createIssue}} _and_ {{attachCommentToIssue}} _API endpoints._ Mattermost Advisory ID: MMSA-2026-00673