CVE-2026-28735

Mattermost w wersjach 10.11.x do 10.11.20 oraz 11.7.x do 11.7.5 nie usuwa rekordów członkostwa w wątkach, gdy użytkownik zostaje usunięty z zespołu lub sam go opuszcza. Pozwala to wcześniej usuniętemu użytkownikowi, który później zostanie ponownie zaproszony, na przeglądanie treści i metadanych postów w prywatnych kanałach przez API wątków zespołu.

Wersje Mattermost 11.7.x <= 11.7.6, 10.11.x <= 10.11.21, 11.8.x <= 11.8.3 nie egzekwują uprawnienia PermissionManageBoardRoles na polu channelId w punkcie końcowym batch, co pozwala uwierzytelnionemu edytorowi tablic na ponowne powiązanie dowolnej tablicy, którą może edytować, z dowolnym kanałem za pomocą spreparowanego żądania PATCH.

Mattermost w wersjach 11.7.x do 11.7.6, 10.11.x do 10.11.21 oraz 11.8.x do 11.8.3 nie waliduje pól BoardMember.Scheme* po stronie serwera podczas wstawiania i importu archiwum, co pozwala edytorowi tablicy lub członkowi zespołu niebędącemu gościem na nadanie roli administratora tablicy dowolnym użytkownikom.

Mattermost w wersjach 11.7.x do 11.7.6, 10.11.x do 10.11.21 oraz 11.8.x do 11.8.3 nie waliduje typów pól w komunikatach WebSocket, co pozwala uwierzytelnionemu użytkownikowi na awarię procesu pluginu i odmowę usługi dla wszystkich użytkowników Boards poprzez wiadomość custom_focalboard_SUBSCRIBE_TEAM z nieprawidłowym teamId.

Mattermost w wersjach 11.8.x <= 11.8.2, 11.7.x <= 11.7.6, 10.11.x <= 10.11.21 nie ogranicza przypisywania ról członków kanału do ról z zakresu kanału, co pozwala administratorowi kanału na uzyskanie dodatkowych uprawnień kanału przez API ról członków kanału.

Mattermost w wersjach 11.7.x <= 11.7.6, 10.11.x <= 10.11.21, 11.8.x <= 11.8.3 nie weryfikuje, czy użytkownik ma dostęp do odczytu kanału przed powiązaniem z nim tablicy. Umożliwia to uwierzytelnionemu atakującemu odkrycie członkostwa prywatnych kanałów w tym samym zespole poprzez tworzenie, modyfikowanie, importowanie lub masowe tworzenie tablic z dowolnym channelId.

Mattermost w wersjach 11.7.x <= 11.7.6, 10.11.x <= 10.11.21 nie egzekwuje walidacji stanu uruchomienia przy operacjach zapisu dla zakończonych przebiegów playbooków. Umożliwia to uczestnikowi przebiegu modyfikację statusu, list kontrolnych, treści retrospektywy, właściciela i uczestników zakończonych przebiegów przez żądania REST i GraphQL API.

Mattermost w wersjach 11.7.x <= 11.7.6, 10.11.x <= 10.11.21 nie ogranicza endpointów deautoryzacji OAuth i zarządzania osobistymi tokenami dostępu do bezpośrednich sesji użytkownika. Umożliwia to aplikacji OAuth z delegowanym tokenem użytkownika odwołanie autoryzacji lub tokenów użytkownika dla innych integracji przez endpointy zarządzania kontem.

Mattermost w wersjach 11.7.x <= 11.7.6, 10.11.x <= 10.11.21 nie zapobiega przyznaniu uprawnień administratora tablicy użytkownikom-gościom podczas importu archiwum tablicy. Umożliwia to członkowi tablicy eskalację uprawnień użytkownika-gościa do administratora tablicy poprzez import spreparowanego pliku .boardarchive.

Mattermost w wersjach 11.7.x <= 11.7.6, 11.8.x <= 11.8.3 nie ponownie weryfikuje, czy każdy docelowy kanał nadal należy do zespołu administratora podczas wywołania endpointu usuwania przypisania polityki dostępu. Umożliwia to uwierzytelnionemu administratorowi zespołu usunięcie przypisań polityk ABAC z kanałów spoza swojego zespołu po przeniesieniu kanału do innego zespołu.