CVE-2026-28759
ŚrednieStreszczenie
Wersje Mattermost 11.5.x do 11.5.1, 10.11.x do 10.11.13 oraz 11.4.x do 11.4.3 nie weryfikują, czy zdalny klaster ma dostęp do kanału przed przetworzeniem żądań usunięcia członkostwa podczas synchronizacji członkostwa w kanałach współdzielonych. To pozwala złośliwemu zdalnemu klastrowi na usunięcie dowolnego użytkownika z dowolnego kanału.
Ocena ryzyka
Organizacja może być narażona na nieautoryzowane usunięcie użytkowników z kanałów, co może prowadzić do utraty danych i zakłócenia komunikacji wewnętrznej.
Rekomendacja
Zaleca się aktualizację Mattermost do najnowszej wersji, aby zabezpieczyć się przed tą podatnością oraz wdrożenie dodatkowych mechanizmów weryfikacji dostępu do kanałów.
Oryginalny opis (angielski, źródło NVD)
Mattermost versions 11.5.x <= 11.5.1, 10.11.x <= 10.11.13, 11.4.x <= 11.4.3 fail to validate that a remote cluster has access to a channel before processing membership removal requests during shared channel membership sync, which allows a malicious remote cluster to remove any user from any channel,