CVE-2026-86349

Mattermost w wersjach 11.9.x do 11.9.1, 11.8.x do 11.8.5, 11.7.x do 11.7.10 oraz 11.10.x do 11.10.1 nie egzekwuje limitu rozmiaru treści żądania podczas walidacji CSRF dla żądań wtyczek, co pozwala uwierzytelnionemu użytkownikowi wyczerpać pamięć serwera i spowodować odmowę usługi poprzez wysłanie dużego żądania do punktu końcowego wtyczki.

Mattermost w wersjach 11.9.x do 11.9.1, 11.8.x do 11.8.5, 11.7.x do 11.7.10 oraz 11.10.x do 11.10.1 nie stosuje filtra połączeń wewnętrznych do żądań do punktów końcowych OAuth, co pozwala administratorowi systemu na zmuszenie serwera do wysyłania żądań do wewnętrznych adresów sieciowych i odczytywania odpowiedzi za pośrednictwem skonfigurowanych punktów końcowych tokena OAuth i userinfo.

Mattermost w wersjach 11.9.x do 11.9.1, 11.8.x do 11.8.5, 11.7.x do 11.7.10 i 11.10.x do 11.10.1 nie ogranicza długości tablicy ID postów w punkcie końcowym zbiorczych reakcji (bulk reactions). Umożliwia to uwierzytelnionemu użytkownikowi spowodowanie nadmiernego obciążenia bazy danych za pomocą spreparowanego żądania do {{POST /api/v4/posts/ids/reactions}}. Identyfikator porady: MMSA-2026-00771.

W Mattermost w wersjach 11.9.x <= 11.9.0, 11.8.x <= 11.8.4, 11.7.x <= 11.7.7, 10.11.x <= 10.11.22 nie oczyszcza obiektów Team zwracanych przez endpoint data retention teams. Uwierzytelniony użytkownik z uprawnieniem tylko do odczytu Data Retention Policy może uzyskać prywatny invite_id i e-mail zespołu oraz dołączyć do niego bez autoryzacji przez GET /api/v4/data_retention/policies/{policy_id}/teams.

Mattermost w wersjach 11.9.x do 11.9.0, 11.8.x do 11.8.4 i 11.7.x do 11.7.7 nie waliduje poprawnie identyfikatorów URI przekierowań podczas Dynamic Client Registration, dopasowując wzorce glob do surowego ciągu URI zamiast do komponentów URL. Pozwala to zdalnemu, nieuwierzytelnionemu atakującemu zarejestrować klienta OAuth z kontrolowanym hostem wywołania zwrotnego, który omija listę dozwolonych URI przekierowań poprzez spreparowany URI umieszczający dozwolony suffix hosta/ścieżki w ciągu zapytania.

Mattermost w wersjach do 11.9, 11.0.9, 11.4.8, 11.7.7 oraz 10.22.11.0 nie odzyskuje działania po panicach w handlerach. Uwierzytelniony użytkownik może doprowadzić do awarii pluginu poprzez żądanie post-action z nieoczekiwanym typem pola.

Mattermost w wersjach 11.9.x do 11.9.0, 11.8.x do 11.8.4 oraz 11.7.x do 11.7.7 nie egzekwuje granic autoryzacji na punkcie końcowym aktualizacji polityki kontroli dostępu. Administrator kanału lub zespołu może odpiąć przypisaną przez system politykę nadrzędną ABAC poprzez spreparowane żądanie PUT /api/v4/access_control_policies z pustą listą imports.

Mattermost w wersjach 11.9.x <= 11.9.0, 11.8.x <= 11.8.4, 11.7.x <= 11.7.7 oraz 10.11.x <= 10.11.22 nie weryfikuje uprawnień do zarządzania członkami kanału podczas tworzenia uruchomienia playbooka. Uwierzytelniony członek kanału może dodać dowolnego użytkownika do kanału o ograniczonym dostępie poprzez pole właściciela uruchomienia.

Mattermost w wersjach 11.9.x <= 11.9.0, 11.8.x <= 11.8.4, 11.7.x <= 11.7.7, 10.11.x <= 10.11.22 nie ogranicza rozmiaru rozpakowywanych wiadomości SDP skompresowanych zlib. Atakujący może wysłać wiele takich wiadomości, które po rozpakowaniu osiągają duży rozmiar, powodując odmowę usługi lub awarię serwera.

Mattermost w wersjach 11.9.x <= 11.9.0, 11.8.x <= 11.8.4, 11.7.x <= 11.7.7, 10.11.x <= 10.11.22 nie ogranicza ilości pamięci alokowanej podczas dekodowania przesyłanych plików obrazów. Uwierzytelniony użytkownik może przesłać specjalnie spreparowany obraz jako zdjęcie profilowe, załącznik, ikonę zespołu lub niestandardowy obraz marki, powodując nadmierne zużycie pamięci serwera i potencjalną odmowę usługi.