CVE-2026-5163
ŚrednieStreszczenie
Wersje Mattermost od 11.5.x do 11.5.1 nie weryfikują członkostwa w kanałach podczas przetwarzania wiadomości wspomaganych przez AI. To pozwala uwierzytelnionemu atakującemu na odczytanie treści wątków w prywatnych kanałach i wiadomościach bez dostępu poprzez odpowiednio skonstruowane żądanie.
Ocena ryzyka
Atakujący może uzyskać dostęp do poufnych informacji w prywatnych kanałach i wiadomościach, co może prowadzić do naruszenia prywatności i bezpieczeństwa danych w organizacji.
Rekomendacja
Zaleca się aktualizację Mattermost do wersji nowszej niż 11.5.1, aby usunąć tę podatność oraz wprowadzenie dodatkowych mechanizmów weryfikacji dostępu do prywatnych treści.
Oryginalny opis (angielski, źródło NVD)
Mattermost versions 11.5.x <= 11.5.1 fail to verify channel membership when processing AI-assisted message rewrites which allows an authenticated attacker to read the content of threads in private channels and direct messages they do not have access to via a crafted request to the post rewrite endpo