CVE-2026-21386

Mattermost w wersjach 11.3.x <= 11.3.0, 11.2.x <= 11.2.2, 10.11.x <= 10.11.10 nie kanonikalizuje adresów IPv4-mapped IPv6 przed walidacją zastrzeżonych adresów IP, co pozwala atakującemu na przeprowadzenie ataków SSRF na wewnętrzne usługi za pomocą literałów IPv4-mapped IPv6, takich jak [::ffff:127.0.0.1].

Mattermost w wersjach 11.3.x <= 11.3.0, 11.2.x <= 11.2.2 i 10.11.x <= 10.11.10 nie egzekwował prawidłowo uprawnień odczytu w endpointach API wyszukiwania. Użytkownicy-goście bez uprawnień odczytu mogli uzyskać dostęp do postów i plików w kanałach poprzez zapytania do API wyszukiwania.

Mattermost w wersjach 10.11.x <= 10.11.10 nie waliduje metody uwierzytelniania użytkownika podczas przetwarzania zmiany typu uwierzytelniania konta. Uwierzytelniony atakujący może zmienić hasło konta bez potwierdzenia, fałszywie podając innego dostawcę uwierzytelniania.

Mattermost w wersjach 11.3.x <= 11.3.0, 11.2.x <= 11.2.2, 10.11.x <= 10.11.10 nie weryfikuje uprawnień upload_file specyficznych dla zespołu, co pozwala użytkownikowi gościowi na publikowanie plików w kanałach, w których nie ma uprawnień upload_file, poprzez przesłanie pliku w zespole, w którym ma uprawnienia, i ponowne użycie metadanych pliku w żądaniu POST do innego zespołu.

Mattermost w wersjach 11.3.x <= 11.3.0 nie zachowuje stanu redakcji wiadomości typu 'burn-on-read' podczas usuwania, co pozwala członkom kanału na dostęp do nieujawnionej treści wiadomości poprzez zdarzenie usunięcia posta w WebSocket. Podatność opisana w biuletynie MMSA-2026-00579.

Mattermost w wersjach 11.3.x <= 11.3.0, 11.2.x <= 11.2.2, 10.11.x <= 10.11.10 nie filtruje identyfikatorów zaproszeń na podstawie uprawnień użytkownika, co pozwala zwykłym użytkownikom na obejście kontroli dostępu i zarejestrowanie nieautoryzowanych kont przy użyciu ujawnionych identyfikatorów zaproszeń podczas tworzenia zespołu.

W Mattermost w wersjach 11.3.x <= 11.3.0, 11.2.x <= 11.2.2 oraz 10.11.x <= 10.11.10 nieprawidłowo weryfikowano członkostwo w zespole podczas wyszukiwania kanałów, co pozwala usuniętemu członkowi zespołu na wyliczenie wszystkich publicznych kanałów w prywatnym zespole przez endpoint API wyszukiwania kanałów.

Mattermost w wersjach 11.3.x <= 11.3.0, 11.2.x <= 11.2.2 i 10.11.x <= 10.11.10 nie sanityzuje metadanych postów dostarczanych przez klienta. Uwierzytelniony atakujący może podszyć się pod innych użytkowników w osadzonych permalinkach poprzez spreparowane żądania PUT do API aktualizacji postów.

Mattermost w wersjach 11.3.x <= 11.3.0, 11.2.x <= 11.2.2, 10.11.x <= 10.11.10 nie ogranicza rozmiaru odpowiedzi z punktów końcowych akcji integracyjnych. Uwierzytelniony atakujący może spowodować wyczerpanie pamięci serwera i odmowę usługi poprzez złośliwy serwer integracyjny zwracający arbitralnie dużą odpowiedź, gdy użytkownik kliknie przycisk interaktywnej wiadomości.

W Mattermost w wersjach 11.3.x <= 11.3.0, 11.2.x <= 11.2.2 oraz 10.11.x <= 10.11.10 nie ograniczano alokacji pamięci podczas przetwarzania plików obrazów PSD, co pozwala uwierzytelnionemu atakującemu na wyczerpanie pamięci serwera i odmowę usługi przez przesłanie specjalnie spreparowanego pliku PSD.