Podatności Mattermost

Mattermost w wersjach 10.11.x do 10.11.20 oraz 11.7.x do 11.7.5 nie usuwa rekordów członkostwa w wątkach, gdy użytkownik zostaje usunięty z zespołu lub sam go opuszcza. Pozwala to wcześniej usuniętemu użytkownikowi, który później zostanie ponownie zaproszony, na przeglądanie treści i metadanych postów w prywatnych kanałach przez API wątków zespołu.

Wersje Mattermost 11.7.x <= 11.7.6, 10.11.x <= 10.11.21, 11.8.x <= 11.8.3 nie egzekwują uprawnienia PermissionManageBoardRoles na polu channelId w punkcie końcowym batch, co pozwala uwierzytelnionemu edytorowi tablic na ponowne powiązanie dowolnej tablicy, którą może edytować, z dowolnym kanałem za pomocą spreparowanego żądania PATCH.

Mattermost w wersjach 11.7.x do 11.7.6, 10.11.x do 10.11.21 oraz 11.8.x do 11.8.3 nie waliduje pól BoardMember.Scheme* po stronie serwera podczas wstawiania i importu archiwum, co pozwala edytorowi tablicy lub członkowi zespołu niebędącemu gościem na nadanie roli administratora tablicy dowolnym użytkownikom.

Mattermost w wersjach 11.7.x do 11.7.6, 10.11.x do 10.11.21 oraz 11.8.x do 11.8.3 nie waliduje typów pól w komunikatach WebSocket, co pozwala uwierzytelnionemu użytkownikowi na awarię procesu pluginu i odmowę usługi dla wszystkich użytkowników Boards poprzez wiadomość custom_focalboard_SUBSCRIBE_TEAM z nieprawidłowym teamId.

Mattermost w wersjach 11.8.x <= 11.8.2, 11.7.x <= 11.7.6, 10.11.x <= 10.11.21 nie ogranicza przypisywania ról członków kanału do ról z zakresu kanału, co pozwala administratorowi kanału na uzyskanie dodatkowych uprawnień kanału przez API ról członków kanału.

Mattermost w wersjach 11.7.x <= 11.7.6, 10.11.x <= 10.11.21, 11.8.x <= 11.8.3 nie weryfikuje, czy użytkownik ma dostęp do odczytu kanału przed powiązaniem z nim tablicy. Umożliwia to uwierzytelnionemu atakującemu odkrycie członkostwa prywatnych kanałów w tym samym zespole poprzez tworzenie, modyfikowanie, importowanie lub masowe tworzenie tablic z dowolnym channelId.

Mattermost w wersjach 11.7.x <= 11.7.6, 10.11.x <= 10.11.21 nie egzekwuje walidacji stanu uruchomienia przy operacjach zapisu dla zakończonych przebiegów playbooków. Umożliwia to uczestnikowi przebiegu modyfikację statusu, list kontrolnych, treści retrospektywy, właściciela i uczestników zakończonych przebiegów przez żądania REST i GraphQL API.

Mattermost w wersjach 11.7.x <= 11.7.6, 10.11.x <= 10.11.21 nie ogranicza endpointów deautoryzacji OAuth i zarządzania osobistymi tokenami dostępu do bezpośrednich sesji użytkownika. Umożliwia to aplikacji OAuth z delegowanym tokenem użytkownika odwołanie autoryzacji lub tokenów użytkownika dla innych integracji przez endpointy zarządzania kontem.

Mattermost w wersjach 11.7.x <= 11.7.6, 10.11.x <= 10.11.21 nie zapobiega przyznaniu uprawnień administratora tablicy użytkownikom-gościom podczas importu archiwum tablicy. Umożliwia to członkowi tablicy eskalację uprawnień użytkownika-gościa do administratora tablicy poprzez import spreparowanego pliku .boardarchive.

Mattermost w wersjach 11.7.x <= 11.7.6, 11.8.x <= 11.8.3 nie ponownie weryfikuje, czy każdy docelowy kanał nadal należy do zespołu administratora podczas wywołania endpointu usuwania przypisania polityki dostępu. Umożliwia to uwierzytelnionemu administratorowi zespołu usunięcie przypisań polityk ABAC z kanałów spoza swojego zespołu po przeniesieniu kanału do innego zespołu.

Mattermost w wersjach 11.7.x <= 11.7.6, 10.11.x <= 10.11.21, 11.8.x <= 11.8.3 nie synchronizuje flag SchemeAdmin z aktualną rolą użytkownika. Umożliwia to użytkownikowi zdegradowanemu do roli System Guest zachowanie uprawnień administratora tablicy i wykonywanie operacji administracyjnych przez API REST lub interfejs użytkownika Boards.

Mattermost w wersjach 11.9.x <= 11.9.0, 11.8.x <= 11.8.4, 11.7.x <= 11.7.7 oraz 10.11.x <= 10.11.22 nie ogranicza prawidłowo zużycia zasobów podczas przetwarzania pewnych danych wprowadzanych przez użytkownika. Umożliwia to zalogowanemu użytkownikowi spowodowanie odmowy usługi.

Mattermost nie weryfikuje ścieżki usuwania plików, co pozwala administratorowi z uprawnieniami do zapisu w konsoli systemowej SAML na usuwanie dowolnych plików poza katalogiem konfiguracyjnym za pomocą punktu końcowego usuwania plików.

Mattermost w wersjach 11.6.x do 11.6.5, 10.11.x do 10.11.20, 11.8.x do 11.8.1, 11.7.x do 11.7.4 nie ogranicza liczby klatek ani nie egzekwuje limitu rozmiaru pliku dla animowanych GIF-ów przesyłanych jako niestandardowe emoji. Uwierzytelniony atakujący może spowodować odmowę usługi (DoS) poprzez przesłanie spreparowanego animowanego GIF-a.

Mattermost w wersjach 11.8.x do 11.8.0, 11.7.x do 11.7.3, 11.6.x do 11.6.5, 10.11.x do 10.11.20 nie ogranicza czasu i zasobów podczas wyodrębniania treści dokumentów po stronie serwera. Uwierzytelniony użytkownik z uprawnieniami do przesyłania plików może degradować przesyłanie plików dla wszystkich użytkowników poprzez wielokrotne przesyłanie małych dokumentów, które są tanie w przesłaniu, ale kosztowne w wyodrębnieniu, nasycając pulę pracowników ekstrakcji.

Podatność w Mattermost w wersjach 11.7.x do 11.7.2, 11.6.x do 11.6.4 oraz 10.11.x do 10.11.19 polega na braku sprawdzenia uprawnienia manage_shared_channels w handlerze autouzupełniania /share-channel. Umożliwia to uwierzytelnionemu użytkownikowi bez tego uprawnienia wyliczenie metadanych połączeń zdalnych klastrów za pomocą autouzupełniania poleceń slash.

Podatność w Mattermost umożliwia użytkownikowi z rolą User Manager uzyskanie linków zaproszeń do prywatnych zespołów poprzez endpoint scheme teams. Brak odpowiedniego czyszczenia obiektów zespołów pozwala na dołączenie lub udostępnienie dostępu do tych zespołów.

Podatność w Mattermost umożliwia uwierzytelnionemu użytkownikowi z dostępem do zespołu modyfikację ustawień metryk w playbooku innego użytkownika poprzez spreparowane żądanie importu lub aktualizacji z obcym identyfikatorem metryki. Problem dotyczy wersji 11.7.x do 11.7.1, 11.6.x do 11.6.4 oraz 10.11.x do 10.11.19.

Podatność w Mattermost umożliwia osobie z uprawnieniami do zarządzania webhookami tworzenie postów lub wiadomości bezpośrednich przypisanych do innego użytkownika. Problem wynika z braku walidacji, czy przypisany użytkownik webhooka ma dostęp do docelowego zespołu lub kanału.

Podatność w Mattermost umożliwia dezaktywowanemu użytkownikowi-gościowi uzyskanie aktywnej sesji za pomocą tokena magic-link wydanego przed dezaktywacją. Problem występuje w wersjach 11.7.x do 11.7.2 oraz 11.6.x do 11.6.4.

Podatność w Mattermost w wersjach 11.7.x do 11.7.2, 11.6.x do 11.6.4 oraz 10.11.x do 10.11.19 polega na braku unieważnienia tokenów odświeżania OAuth po dezaktywacji konta użytkownika. Umożliwia to dezaktywowanemu użytkownikowi lub osobie posiadającej ważny token odświeżania uzyskanie nowych funkcjonalnych tokenów dostępu przez endpoint przyznawania tokenów odświeżania OAuth.

Podatność w Mattermost umożliwia uwierzytelnionemu atakującemu przeprowadzenie ataku typu Denial of Service (DoS) na wszystkich użytkowników kanału. Problem wynika z braku walidacji długości i treści wartości pól załączników wiadomości, co prowadzi do katastrofalnego cofania się (catastrophic backtracking) w parserze Markdown po stronie klienta.

Podatność w Mattermost umożliwia uwierzytelnionemu użytkownikowi bez dostępu do kanału prywatnego wywoływanie interaktywnych akcji na postach w tym kanale. Problem wynika z braku weryfikacji, czy kanał wskazany w ciasteczku akcji odpowiada kanałowi docelowego posta.

Podatność w Mattermost umożliwia uwierzytelnionemu zdalnemu klastrowi modyfikację lub usuwanie postów utworzonych przez lokalnych użytkowników lub inne zdalne klastry w kanałach współdzielonych. Problem wynika z braku weryfikacji własności posta w handlerze synchronizacji przychodzącej kanałów współdzielonych.

Podatność w Mattermost umożliwia zwykłemu członkowi grupy lub bezpośredniej wiadomości usunięcie wszystkich uczestników rozmowy poprzez API patchowania kanału. Problem dotyczy wersji 11.7.x do 11.7.2, 11.6.x do 11.6.4 oraz 10.11.x do 10.11.19, gdzie flaga group_constrained nie jest odpowiednio ograniczona do kanałów publicznych i prywatnych obsługujących synchronizację grup.

Podatność w pluginie Mattermost Agents MCP server pozwala atakującemu z dostępem do serwera MCP w trybie stdio na wykonanie fałszowania żądań po stronie serwera (SSRF) poprzez podanie wewnętrznych adresów URL jako załączników w żądaniach tworzenia postów. Problem dotyczy wersji 10.11.x <= 10.11.18, 11.6.x <= 11.6.3 oraz 11.5.x <= 11.5.6.

Podatność w Mattermost umożliwia uwierzytelnionemu atakującemu kradzież danych poprzez wstrzyknięcie składni obrazka Markdown do wyników narzędzi AI bota. Ograniczenia renderowania obrazków Markdown nie są prawidłowo stosowane do postów z wynikami narzędzi AI, co pozwala na wyciek danych do kontrolowanego przez atakującego serwera po wyrenderowaniu przez klient ofiary.

Wersje Mattermost 11.7.x do 11.7.0, 11.6.x do 11.6.2, 11.5.x do 11.5.5 oraz 10.11.x do 10.11.17 nie unieważniają pamięci podręcznej stanu uwierzytelnienia dla aktywnych połączeń WebSocket podczas globalnej revokacji sesji. Umożliwia to użytkownikowi z istniejącym połączeniem WebSocket pozostanie uwierzytelnionym i kontynuowanie odbierania zdarzeń w czasie rzeczywistym, aż do wygaśnięcia pamięci podręcznej sesji lub ponownego połączenia klienta.

Wersje Mattermost 11.7.x do 11.7.0 oraz 10.11.x do 10.11.17 nie egzekwują kontroli uprawnień specyficznych dla botów na końcowym punkcie aktywności użytkownika. Umożliwia to Menedżerowi Użytkowników z dostępem do zarządzania użytkownikami, ale bez dostępu do Integracji, dezaktywację kont botów za pomocą punktu końcowego PUT /api/v4/users/{id}/active.

Wersje Mattermost 11.7.x do 11.7.0, 11.6.x do 11.6.2, 11.5.x do 11.5.5 oraz 10.11.x do 10.11.17 nie autoryzują zainstalowanych callbacków Atlassian Connect, co pozwala zdalnemu, nieautoryzowanemu atakującemu na wstrzyknięcie fałszywego sharedSecret i zakłócenie integracji z Jira.

Wersje Mattermost 11.7.x do 11.7.0, 11.6.x do 11.6.2, 11.5.x do 11.5.5 oraz 10.11.x do 10.11.17 nie weryfikują własności kanału istniejącej subskrypcji przed zastosowaniem edycji. To pozwala uwierzytelnionemu atakującemu na przejęcie subskrypcji z kanałów, do których nie ma dostępu, za pomocą spreparowanego żądania PUT do punktu końcowego edycji subskrypcji.

Wersje Mattermost 11.7.x do 11.7.0, 11.6.x do 11.6.2, 11.5.x do 11.5.5 oraz 10.11.x do 10.11.17 nie egzekwują autoryzacji administratora w wywołaniu {{setDefaultInstance}} w obsłudze komendy {{/gitlab connect}}, co pozwala każdemu uwierzytelnionemu użytkownikowi na nadpisanie globalnej konfiguracji domyślnej instancji GitLab za pomocą komendy {{/gitlab connect <nazwa-instancji>}}.

Wersje Mattermost 11.6.x do 11.6.1, 11.5.x do 11.5.4 oraz 10.11.x do 10.11.16 nie wymagają autoryzacji zarządzania rolami przy ustawianiu flagi scheme_admin na punktach końcowych synchronizacji grupy, co pozwala użytkownikowi z uprawnieniami do linków grupowych na eskalację swoich uprawnień oraz uprawnień członków grupy do administratora zespołu lub kanału za pomocą odpowiednio skonstruowanych żądań API.

Wersje Mattermost 11.6.x do 11.6.1, 11.5.x do 11.5.4 oraz 10.11.x do 10.11.15 nie sanitizują odpowiedzi API zdalnego klastra podczas operacji PATCH. Umożliwia to uwierzytelnionym użytkownikom z uprawnieniem {{manage_secure_connections}} uzyskanie tokenów uwierzytelniających zdalnego klastra poprzez żądanie PATCH do punktu końcowego zdalnego klastra.

Wersje Mattermost 11.6.x do 11.6.1, 11.5.x do 11.5.4 oraz 10.11.x do 10.11.16 mają lukę, która pozwala na nieprawidłowe przetwarzanie nazwy pliku otrzymanej od zdalnych serwerów. Atakujący kontrolujący zdalny serwer może wykorzystać tę lukę do zapisywania plików w dowolnych lokalizacjach na serwerze docelowym za pomocą sekwencji przejścia ścieżki w polu nazwy pliku.

Wersje Mattermost 11.6.x do 11.6.1, 11.5.x do 11.5.4 oraz 10.11.x do 10.11.16 nie wymagają uprawnień na poziomie systemu przy łatanie chronionych domyślnych ról systemowych. Umożliwia to uwierzytelnionym użytkownikom z delegowanymi uprawnieniami do zarządzania użytkownikami eskalację uprawnień poprzez modyfikację uprawnień wbudowanych ról za pomocą API łatania ról.

Wersje Mattermost 11.6.x do 11.6.1, 11.5.x do 11.5.4 oraz 10.11.x do 10.11.16 nie egzekwują odpowiednich uprawnień przy tworzeniu zespołów, co pozwala uwierzytelnionym użytkownikom z uprawnieniem PermissionCreateTeam, ale bez PermissionInviteUser, na modyfikację ustawień zespołu dotyczących zaproszeń.

Wersje Mattermost 11.6.x do 11.6.1, 11.5.x do 11.5.4 oraz 10.11.x do 10.11.16 nie weryfikują, czy nazwa użytkownika zwrócona podczas rejestracji bota należy do konta bota. To umożliwia nieuprzywilejowanemu atakującemu przechwycenie prywatnych wiadomości wysyłanych przez wtyczki za pomocą kanałów wiadomości bezpośrednich poprzez wcześniejszą rejestrację konta użytkownika z przewidywalną nazwą użytkownika bota wtyczki.

Wersje Mattermost 11.6.x do 11.6.1, 11.5.x do 11.5.4 oraz 10.11.x do 10.11.15 i 10.11.x do 10.11.16 nie ograniczają transmisji zdarzeń websocket 'role_updated' do członków dotkniętego zespołu lub kanału. To pozwala uwierzytelnionemu atakującemu z dostępem na poziomie gościa obserwować powiadomienia o zmianach w schemacie uprawnień dla prywatnych zespołów, do których nie należy.

W Mattermost w wersjach 11.6.0, 11.5.x <= 11.5.3, 11.4.x <= 11.4.4, 10.11.x <= 10.11.14 nie filtrowane są puste elementy z ładunków załączników webhooków wychodzących przed przetworzeniem. Uwierzytelniony użytkownik może wysłać spreparowaną odpowiedź webhooka zawierającą pusty wpis załącznika, powodując odmowę usługi (zakończenie procesu serwera).

Mattermost w wersjach 11.6.0, 11.5.x do 11.5.3, 11.4.x do 11.4.4 oraz 10.11.x do 10.11.14 nie waliduje zakresu tokena OAuth podczas wywołania zwrotnego, co pozwala uwierzytelnionemu użytkownikowi na uzyskanie dostępu do prywatnych repozytoriów poprzez modyfikację parametru scope w adresie URL autoryzacji GitHub.

Mattermost w wersjach 11.6.x <= 11.6.0, 11.5.x <= 11.5.2, 11.5.x <= 11.5.3, 11.4.x <= 11.4.4, 10.11.x <= 10.11.14 nie waliduje przesunięcia IFD w nagłówku TIFF przed alokacją pamięci, co pozwala uwierzytelnionym użytkownikom z uprawnieniami do przesyłania plików lub publikowania na spowodowanie odmowy usługi (wyczerpanie pamięci OOM) poprzez przesłanie spreparowanego pliku TIFF lub opublikowanie adresu URL go serwującego.

Mattermost w wersjach 11.6.x <= 11.6.0, 11.5.x <= 11.5.3, 11.4.x <= 11.4.4, 10.11.x <= 10.11.14 nieprawidłowo waliduje ramki WebSocket zakodowane w formacie msgpack przed alokacją pamięci, co pozwala nieuwierzytelnionemu zdalnemu atakującemu na awarię procesu serwera i spowodowanie całkowitej przerwy w działaniu usługi dla wszystkich użytkowników poprzez wysłanie spreparowanej binarnej wiadomości WebSocket do publicznego punktu końcowego WebSocket.

Mattermost w wersjach 11.6.x <= 11.6.0, 11.5.x <= 11.5.3, 11.4.x <= 11.4.4, 10.11.x <= 10.11.14 nie egzekwuje limitów rozmiaru treści żądań HTTP na punktach końcowych wtyczek, co pozwala atakującemu na spowodowanie odmowy usługi poprzez spreparowane, zbyt duże żądania HTTP.

Mattermost w wersjach 11.6.x <= 11.6.0, 11.5.x <= 11.5.3, 11.4.x <= 11.4.4, 10.11.x <= 10.11.14 nie waliduje danych wejściowych dostarczonych przez użytkownika w procedurach obsługi żądań API, co pozwala uwierzytelnionemu atakującemu na awarię procesu wtyczki poprzez spreparowane żądanie HTTP do punktu końcowego szczegółów PR.

Mattermost w wersjach 11.6.x <= 11.6.0, 11.5.x <= 11.5.3, 11.4.x <= 11.4.4, 10.11.x <= 10.11.14 nie archiwizuje kanału przed usunięciem trwałych powiadomień, co pozwala uwierzytelnionemu użytkownikowi na crash serwera poprzez odpowiednie timingowanie utworzenia wiadomości z trwałym powiadomieniem między usunięciem istniejących powiadomień a archiwizacją kanału.

Mattermost w wersjach 11.6.x <= 11.6.0, 11.5.x <= 11.5.3, 11.4.x <= 11.4.4, 10.11.x <= 10.11.14 nie czyści danych członków zespołu przy zwracaniu przez API użytkownikom bez podwyższonych uprawnień. Pozwala to użytkownikowi bez uprawnień na uzyskanie danych o rolach członków zespołu poprzez wywołanie różnych endpointów API zespołu.

Mattermost w wersjach 11.6.x <= 11.6.0, 11.5.x <= 11.5.3, 11.4.x <= 11.4.4 oraz 10.11.x <= 10.11.14 nie waliduje poprawnie własności plików i kontroli dostępu. Uwierzytelniony użytkownik może uzyskać dostęp i pobrać pliki należące do innych użytkowników lub zespołów poprzez spreparowane żądania API Boards z użyciem prawidłowych identyfikatorów plików.

Mattermost w wersjach 11.6.x do 11.6.0, 11.5.x do 11.5.3, 11.4.x do 11.4.4 oraz 10.11.x do 10.11.14 nie sprawdza poprawnie adresów URL integracji pod kątem path traversal. Umożliwia to złośliwemu, uwierzytelnionemu użytkownikowi wywołanie dowolnego API przy użyciu tokena autoryzacyjnego administratora systemu poprzez manipulację ścieżką w adresie URL akcji integracji.

Mattermost w wersjach 11.5.x <= 11.5.1 nie waliduje poprawnie uprawnienia run_create na poziomie zespołu podczas tworzenia przebiegu playbooka. Uwierzytelniony członek zespołu może tworzyć przebiegi w zespołach, do których nie ma uprawnień, podając inny identyfikator zespołu w żądaniu API.