CVE-2026-8075
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
Aplikacja desktopowa Mattermost w wersjach 6.2, 5.5.13 i 6.0.2.0 nieprawidłowo sprawdza wartości null podczas walidacji nagłówków, co umożliwia każdemu użytkownikowi spowodowanie awarii aplikacji u innych członków kanału poprzez wysłanie złośliwego linku z osadzonym obrazem, który pomija jeden z tych nagłówków.
Ocena ryzyka
Ryzyko polega na możliwości przeprowadzenia ataku typu denial-of-service (DoS) na klientów desktopowych innych użytkowników, co może zakłócić komunikację w organizacji i obniżyć produktywność zespołu.
Rekomendacja
Zaleca się natychmiastową aktualizację aplikacji desktopowej Mattermost do wersji nowszej niż 6.2, 5.5.13 lub 6.0.2.0, która zawiera poprawkę dla tej podatności.
Inne podatności w Mattermost Desktop App
Zobacz wszystkie- CVE-2026-75587Niskie
Aplikacja desktopowa Mattermost w wersjach do 6.2.2.0 nie usuwa sekretu przed uwierzytelnieniem podczas generowania raportu diagnostycznego. Lokalny atakujący z dostępem do raportu diagnostycznego lub plików logów może uzyskać jawny tekst sekretu skonfigurowanego dla połączonego serwera, przeglądając dane wyjściowe diagnostyki łączności (krok 3).
- CVE-2026-9602Średnie
Aplikacja Mattermost Desktop w wersjach do 6.2, 6.0.2 i 5.6.13.0 nie weryfikuje poprawności danych przesyłanych z aplikacji webowej do desktopowej, co umożliwia złośliwemu właścicielowi serwera spowodowanie awarii aplikacji desktopowej poprzez wysłanie nieprawidłowego ładunku metody.
- CVE-2026-8683Średnie
Aplikacja Mattermost Desktop w wersjach <=6.1 5.5.13.0 nie obsługuje poprawnie próby otwierania ekstremalnie długich adresów URL, co pozwala złośliwemu właścicielowi serwera na awarię aplikacji poprzez włączenie skryptu wywołującego window.open z bardzo dużym adresem URL.
- CVE-2026-6517Średnie
Aplikacja Mattermost Desktop w wersjach <=6.1 5.5.13.0 nie ogranicza listy dozwolonych domen, do których przesyłane są poświadczenia NTLM. Umożliwia to każdemu użytkownikowi na serwerze, na którym nie jest włączony proxy obrazów, przechwytywanie poświadczeń innych użytkowników poprzez osadzenie obrazu, który kieruje do zewnętrznego serwera.
Oryginalny opis (angielski, źródło NVD)
Mattermost Desktop App versions <=6.2 5.5.13 6.0.2.0 fail to properly null check when checking for headers in the Mattermost Desktop App which allows any user to crash another channel members Desktop App via posting a malicious link with an embedded image that misses one of those headers. Mattermost Advisory ID: MMSA-2026-00668