CVE-2026-28732
ŚrednieStreszczenie
Wersje Mattermost 11.5.x do 11.5.1, 10.11.x do 10.11.13 oraz 11.4.x do 11.4.3 nie egzekwują unikalności słów kluczowych poleceń slash podczas aktualizacji poleceń. Umożliwia to uwierzytelnionemu członkowi zespołu z uprawnieniami do zarządzania własnymi poleceniami slash przejęcie i podszywanie się pod istniejące systemowe lub niestandardowe polecenia slash.
Ocena ryzyka
Organizacja może być narażona na ataki, w których złośliwi użytkownicy mogą przejąć kontrolę nad poleceniami slash, co prowadzi do potencjalnych naruszeń bezpieczeństwa i utraty zaufania do systemu.
Rekomendacja
Zaleca się aktualizację Mattermost do najnowszej wersji, aby usunąć tę podatność oraz przegląd uprawnień użytkowników w celu ograniczenia dostępu do zarządzania poleceniami slash.
Oryginalny opis (angielski, źródło NVD)
Mattermost versions 11.5.x <= 11.5.1, 10.11.x <= 10.11.13, 11.4.x <= 11.4.3 Fail to enforce slash command trigger-word uniqueness during command updates which allows an authenticated team member with Manage Own Slash Commands permission to hijack and impersonate existing system or custom slash comma