CVE-2026-3637
ŚrednieStreszczenie
Wersje Mattermost 11.5.x do 11.5.1, 10.11.x do 10.11.13 oraz 11.4.x do 11.4.3 nie sprawdzają uprawnień do tworzenia postów podczas edycji postów. Umożliwia to uwierzytelnionemu atakującemu, któremu odebrano uprawnienia do publikowania, modyfikację istniejących postów za pomocą bezpośrednich żądań API.
Ocena ryzyka
Atakujący może wykorzystać tę lukę do nieautoryzowanej edycji postów, co może prowadzić do dezinformacji lub naruszenia integralności danych w organizacji.
Rekomendacja
Zaleca się aktualizację Mattermost do najnowszej wersji, aby usunąć tę lukę oraz wdrożenie dodatkowych kontroli dostępu do edycji postów.
Oryginalny opis (angielski, źródło NVD)
Mattermost versions 11.5.x <= 11.5.1, 10.11.x <= 10.11.13, 11.4.x <= 11.4.3 fail to check the create_post channel permission during post edit operations which allows an authenticated attacker with revoked posting privileges to modify their existing posts via direct API requests to the post update an