Podatności Mattermost

Mattermost w wersjach 11.9.x do 11.9.1, 11.8.x do 11.8.5, 11.7.x do 11.7.10 oraz 11.10.x do 11.10.1 nie egzekwuje limitu rozmiaru treści żądania podczas walidacji CSRF dla żądań wtyczek, co pozwala uwierzytelnionemu użytkownikowi wyczerpać pamięć serwera i spowodować odmowę usługi poprzez wysłanie dużego żądania do punktu końcowego wtyczki.

Mattermost w wersjach 11.9.x do 11.9.1, 11.8.x do 11.8.5, 11.7.x do 11.7.10 oraz 11.10.x do 11.10.1 nie stosuje filtra połączeń wewnętrznych do żądań do punktów końcowych OAuth, co pozwala administratorowi systemu na zmuszenie serwera do wysyłania żądań do wewnętrznych adresów sieciowych i odczytywania odpowiedzi za pośrednictwem skonfigurowanych punktów końcowych tokena OAuth i userinfo.

Mattermost w wersjach 11.9.x do 11.9.1, 11.8.x do 11.8.5, 11.7.x do 11.7.10 i 11.10.x do 11.10.1 nie ogranicza długości tablicy ID postów w punkcie końcowym zbiorczych reakcji (bulk reactions). Umożliwia to uwierzytelnionemu użytkownikowi spowodowanie nadmiernego obciążenia bazy danych za pomocą spreparowanego żądania do {{POST /api/v4/posts/ids/reactions}}. Identyfikator porady: MMSA-2026-00771.

W Mattermost w wersjach 11.9.x <= 11.9.0, 11.8.x <= 11.8.4, 11.7.x <= 11.7.7, 10.11.x <= 10.11.22 nie oczyszcza obiektów Team zwracanych przez endpoint data retention teams. Uwierzytelniony użytkownik z uprawnieniem tylko do odczytu Data Retention Policy może uzyskać prywatny invite_id i e-mail zespołu oraz dołączyć do niego bez autoryzacji przez GET /api/v4/data_retention/policies/{policy_id}/teams.

Mattermost w wersjach 11.9.x do 11.9.0, 11.8.x do 11.8.4 i 11.7.x do 11.7.7 nie waliduje poprawnie identyfikatorów URI przekierowań podczas Dynamic Client Registration, dopasowując wzorce glob do surowego ciągu URI zamiast do komponentów URL. Pozwala to zdalnemu, nieuwierzytelnionemu atakującemu zarejestrować klienta OAuth z kontrolowanym hostem wywołania zwrotnego, który omija listę dozwolonych URI przekierowań poprzez spreparowany URI umieszczający dozwolony suffix hosta/ścieżki w ciągu zapytania.

Mattermost w wersjach 11.9.x do 11.9.0, 11.8.x do 11.8.4, 11.7.x do 11.7.8 oraz 10.11.x do 10.11.22 nie ogranicza głębokości zagnieżdżenia w parserze Markdown po stronie serwera. Uwierzytelniony atakujący może spowodować odmowę usługi (wyczerpanie zasobów CPU) poprzez spreparowany post z głęboko zagnieżdżonymi cytatami lub elementami listy.

Mattermost w wersjach do 11.9, 11.0.9, 11.4.8, 11.7.7 oraz 10.22.11.0 nie odzyskuje działania po panicach w handlerach. Uwierzytelniony użytkownik może doprowadzić do awarii pluginu poprzez żądanie post-action z nieoczekiwanym typem pola.

Mattermost w wersjach 11.9.x do 11.9.0, 11.8.x do 11.8.4 oraz 11.7.x do 11.7.7 nie egzekwuje granic autoryzacji na punkcie końcowym aktualizacji polityki kontroli dostępu. Administrator kanału lub zespołu może odpiąć przypisaną przez system politykę nadrzędną ABAC poprzez spreparowane żądanie PUT /api/v4/access_control_policies z pustą listą imports.

Mattermost w wersjach 11.9.x <= 11.9.0, 11.8.x <= 11.8.4, 11.7.x <= 11.7.7 oraz 10.11.x <= 10.11.22 nie weryfikuje uprawnień do zarządzania członkami kanału podczas tworzenia uruchomienia playbooka. Uwierzytelniony członek kanału może dodać dowolnego użytkownika do kanału o ograniczonym dostępie poprzez pole właściciela uruchomienia.

Mattermost w wersjach 11.9.x <= 11.9.0, 11.8.x <= 11.8.4, 11.7.x <= 11.7.7, 10.11.x <= 10.11.22 nie ogranicza rozmiaru rozpakowywanych wiadomości SDP skompresowanych zlib. Atakujący może wysłać wiele takich wiadomości, które po rozpakowaniu osiągają duży rozmiar, powodując odmowę usługi lub awarię serwera.

Mattermost w wersjach 11.9.x <= 11.9.0, 11.8.x <= 11.8.4, 11.7.x <= 11.7.7, 10.11.x <= 10.11.22 nie ogranicza ilości pamięci alokowanej podczas dekodowania przesyłanych plików obrazów. Uwierzytelniony użytkownik może przesłać specjalnie spreparowany obraz jako zdjęcie profilowe, załącznik, ikonę zespołu lub niestandardowy obraz marki, powodując nadmierne zużycie pamięci serwera i potencjalną odmowę usługi.

Mattermost w wersjach 11.9.x <= 11.9.0, 11.8.x <= 11.8.4, 11.7.x <= 11.7.7, 10.11.x <= 10.11.22 nie egzekwuje uprawnień do tworzenia tablic. Nieuprawniony uwierzytelniony użytkownik może tworzyć tablice poprzez punkty końcowe duplikowania tablic, boards-and-blocks oraz importu archiwum.

Mattermost w wersjach 11.9.x <= 11.9.0, 11.8.x <= 11.8.4, 11.7.x <= 11.7.7, 10.11.x <= 10.11.22 nie egzekwuje uprawnień do tworzenia tablic podczas importowania plików archiwum. Uwierzytelniony członek zespołu (nie-gość) może tworzyć publiczne lub prywatne tablice mimo ograniczeń administratora, importując spreparowany plik .boardarchive.

Mattermost w wersjach 11.9.x <= 11.9.0, 11.8.x <= 11.8.4, 11.7.x <= 11.7.7, 10.11.x <= 10.11.22 nie waliduje typu pola `fields.properties` przy tworzeniu bloku. Uwierzytelniony użytkownik z dostępem edytora do tablicy może wywołać crash procesu roboczego wtyczki Boards i odmowę usługi, tworząc blok potomny, którego `fields.properties` nie jest obiektem.

Mattermost w wersjach 11.9.x <= 11.9.0, 11.8.x <= 11.8.4, 11.7.x <= 11.7.7, 10.11.x <= 10.11.22 nie parsuje autolinków Markdown z niedopasowanymi zamykającymi nawiasami w czasie liniowym. Uwierzytelniony użytkownik z uprawnieniami do tworzenia postów może wywołać nadmierne zużycie CPU serwera i pogorszyć dostępność dla innych użytkowników poprzez specjalnie spreparowaną treść posta lub załącznika.

Mattermost w wersjach 11.9.x <= 11.9.0, 11.8.x <= 11.8.4, 11.7.x <= 11.7.7, 10.11.x <= 10.11.22 nie egzekwuje limitu równocześnie przetwarzanych plików i nie obsługuje poprawnie plików, które zakończyły się błędem. Użytkownik z uprawnieniami do przesyłania plików może tworzyć więcej goroutines niż zamierzono i blokować indeksowanie innych plików poprzez ciągłe przesyłanie dużych plików.

Mattermost w wersjach 11.9.x <= 11.9.0, 11.8.x <= 11.8.4, 11.7.x <= 11.7.7, 10.11.x <= 10.11.22 nie waliduje pustych wpisów w ładunkach powiadomień webhook Microsoft Graph. Nieuwierzytelniony atakujący może wywołać crash procesu wtyczki Microsoft Calendar i odmówić usługi integracji kalendarza wszystkim użytkownikom instancji poprzez spreparowane żądanie POST do publicznego punktu końcowego webhook.

Mattermost w wersjach 11.9.x <= 11.9.0, 11.8.x <= 11.8.4, 11.7.x <= 11.7.7 oraz 10.11.x <= 10.11.22 nie weryfikuje właściciela akcji kanału. Menedżerowie kanałów mogą dzięki temu modyfikować akcje w innych kanałach poprzez endpoint aktualizacji akcji kanału.

Mattermost w wersjach 10.11.x do 10.11.20 oraz 11.7.x do 11.7.5 nie usuwa rekordów członkostwa w wątkach, gdy użytkownik zostaje usunięty z zespołu lub sam go opuszcza. Pozwala to wcześniej usuniętemu użytkownikowi, który później zostanie ponownie zaproszony, na przeglądanie treści i metadanych postów w prywatnych kanałach przez API wątków zespołu.

Wersje Mattermost 11.7.x <= 11.7.6, 10.11.x <= 10.11.21, 11.8.x <= 11.8.3 nie egzekwują uprawnienia PermissionManageBoardRoles na polu channelId w punkcie końcowym batch, co pozwala uwierzytelnionemu edytorowi tablic na ponowne powiązanie dowolnej tablicy, którą może edytować, z dowolnym kanałem za pomocą spreparowanego żądania PATCH.

Mattermost w wersjach 11.7.x do 11.7.6, 10.11.x do 10.11.21 oraz 11.8.x do 11.8.3 nie waliduje pól BoardMember.Scheme* po stronie serwera podczas wstawiania i importu archiwum, co pozwala edytorowi tablicy lub członkowi zespołu niebędącemu gościem na nadanie roli administratora tablicy dowolnym użytkownikom.

Mattermost w wersjach 11.7.x do 11.7.6, 10.11.x do 10.11.21 oraz 11.8.x do 11.8.3 nie waliduje typów pól w komunikatach WebSocket, co pozwala uwierzytelnionemu użytkownikowi na awarię procesu pluginu i odmowę usługi dla wszystkich użytkowników Boards poprzez wiadomość custom_focalboard_SUBSCRIBE_TEAM z nieprawidłowym teamId.

Mattermost w wersjach 11.8.x <= 11.8.2, 11.7.x <= 11.7.6, 10.11.x <= 10.11.21 nie ogranicza przypisywania ról członków kanału do ról z zakresu kanału, co pozwala administratorowi kanału na uzyskanie dodatkowych uprawnień kanału przez API ról członków kanału.

Mattermost w wersjach 11.7.x <= 11.7.6, 10.11.x <= 10.11.21, 11.8.x <= 11.8.3 nie weryfikuje, czy użytkownik ma dostęp do odczytu kanału przed powiązaniem z nim tablicy. Umożliwia to uwierzytelnionemu atakującemu odkrycie członkostwa prywatnych kanałów w tym samym zespole poprzez tworzenie, modyfikowanie, importowanie lub masowe tworzenie tablic z dowolnym channelId.

Mattermost w wersjach 11.7.x <= 11.7.6, 10.11.x <= 10.11.21 nie egzekwuje walidacji stanu uruchomienia przy operacjach zapisu dla zakończonych przebiegów playbooków. Umożliwia to uczestnikowi przebiegu modyfikację statusu, list kontrolnych, treści retrospektywy, właściciela i uczestników zakończonych przebiegów przez żądania REST i GraphQL API.

Mattermost w wersjach 11.7.x <= 11.7.6, 10.11.x <= 10.11.21 nie ogranicza endpointów deautoryzacji OAuth i zarządzania osobistymi tokenami dostępu do bezpośrednich sesji użytkownika. Umożliwia to aplikacji OAuth z delegowanym tokenem użytkownika odwołanie autoryzacji lub tokenów użytkownika dla innych integracji przez endpointy zarządzania kontem.

Mattermost w wersjach 11.7.x <= 11.7.6, 10.11.x <= 10.11.21 nie zapobiega przyznaniu uprawnień administratora tablicy użytkownikom-gościom podczas importu archiwum tablicy. Umożliwia to członkowi tablicy eskalację uprawnień użytkownika-gościa do administratora tablicy poprzez import spreparowanego pliku .boardarchive.

Mattermost w wersjach 11.7.x <= 11.7.6, 11.8.x <= 11.8.3 nie ponownie weryfikuje, czy każdy docelowy kanał nadal należy do zespołu administratora podczas wywołania endpointu usuwania przypisania polityki dostępu. Umożliwia to uwierzytelnionemu administratorowi zespołu usunięcie przypisań polityk ABAC z kanałów spoza swojego zespołu po przeniesieniu kanału do innego zespołu.

Mattermost w wersjach 11.7.x <= 11.7.6, 10.11.x <= 10.11.21, 11.8.x <= 11.8.3 nie synchronizuje flag SchemeAdmin z aktualną rolą użytkownika. Umożliwia to użytkownikowi zdegradowanemu do roli System Guest zachowanie uprawnień administratora tablicy i wykonywanie operacji administracyjnych przez API REST lub interfejs użytkownika Boards.

Mattermost w wersjach 11.9.x <= 11.9.0, 11.8.x <= 11.8.4, 11.7.x <= 11.7.7 oraz 10.11.x <= 10.11.22 nie ogranicza rozmiaru dekompresowanej zawartości ani nie egzekwuje skonfigurowanego maksymalnego rozmiaru pliku w module importu archiwów Boards. Uwierzytelniony użytkownik może wywołać wyczerpanie pamięci lub nieograniczone zużycie dysku poprzez przesłanie spreparowanego pliku .boardarchive na endpoint importu.

Mattermost nie weryfikuje ścieżki usuwania plików, co pozwala administratorowi z uprawnieniami do zapisu w konsoli systemowej SAML na usuwanie dowolnych plików poza katalogiem konfiguracyjnym za pomocą punktu końcowego usuwania plików.

Mattermost w wersjach 11.6.x do 11.6.5, 10.11.x do 10.11.20, 11.8.x do 11.8.1, 11.7.x do 11.7.4 nie ogranicza liczby klatek ani nie egzekwuje limitu rozmiaru pliku dla animowanych GIF-ów przesyłanych jako niestandardowe emoji. Uwierzytelniony atakujący może spowodować odmowę usługi (DoS) poprzez przesłanie spreparowanego animowanego GIF-a.

Mattermost w wersjach 11.8.x do 11.8.0, 11.7.x do 11.7.3, 11.6.x do 11.6.5, 10.11.x do 10.11.20 nie ogranicza czasu i zasobów podczas wyodrębniania treści dokumentów po stronie serwera. Uwierzytelniony użytkownik z uprawnieniami do przesyłania plików może degradować przesyłanie plików dla wszystkich użytkowników poprzez wielokrotne przesyłanie małych dokumentów, które są tanie w przesłaniu, ale kosztowne w wyodrębnieniu, nasycając pulę pracowników ekstrakcji.

Podatność w Mattermost w wersjach 11.7.x do 11.7.2, 11.6.x do 11.6.4 oraz 10.11.x do 10.11.19 polega na braku sprawdzenia uprawnienia manage_shared_channels w handlerze autouzupełniania /share-channel. Umożliwia to uwierzytelnionemu użytkownikowi bez tego uprawnienia wyliczenie metadanych połączeń zdalnych klastrów za pomocą autouzupełniania poleceń slash.

Podatność w Mattermost umożliwia użytkownikowi z rolą User Manager uzyskanie linków zaproszeń do prywatnych zespołów poprzez endpoint scheme teams. Brak odpowiedniego czyszczenia obiektów zespołów pozwala na dołączenie lub udostępnienie dostępu do tych zespołów.

Podatność w Mattermost umożliwia uwierzytelnionemu użytkownikowi z dostępem do zespołu modyfikację ustawień metryk w playbooku innego użytkownika poprzez spreparowane żądanie importu lub aktualizacji z obcym identyfikatorem metryki. Problem dotyczy wersji 11.7.x do 11.7.1, 11.6.x do 11.6.4 oraz 10.11.x do 10.11.19.

Podatność w Mattermost umożliwia osobie z uprawnieniami do zarządzania webhookami tworzenie postów lub wiadomości bezpośrednich przypisanych do innego użytkownika. Problem wynika z braku walidacji, czy przypisany użytkownik webhooka ma dostęp do docelowego zespołu lub kanału.

Podatność w Mattermost umożliwia dezaktywowanemu użytkownikowi-gościowi uzyskanie aktywnej sesji za pomocą tokena magic-link wydanego przed dezaktywacją. Problem występuje w wersjach 11.7.x do 11.7.2 oraz 11.6.x do 11.6.4.

Podatność w Mattermost w wersjach 11.7.x do 11.7.2, 11.6.x do 11.6.4 oraz 10.11.x do 10.11.19 polega na braku unieważnienia tokenów odświeżania OAuth po dezaktywacji konta użytkownika. Umożliwia to dezaktywowanemu użytkownikowi lub osobie posiadającej ważny token odświeżania uzyskanie nowych funkcjonalnych tokenów dostępu przez endpoint przyznawania tokenów odświeżania OAuth.

Podatność w Mattermost umożliwia uwierzytelnionemu atakującemu przeprowadzenie ataku typu Denial of Service (DoS) na wszystkich użytkowników kanału. Problem wynika z braku walidacji długości i treści wartości pól załączników wiadomości, co prowadzi do katastrofalnego cofania się (catastrophic backtracking) w parserze Markdown po stronie klienta.

Podatność w Mattermost umożliwia uwierzytelnionemu użytkownikowi bez dostępu do kanału prywatnego wywoływanie interaktywnych akcji na postach w tym kanale. Problem wynika z braku weryfikacji, czy kanał wskazany w ciasteczku akcji odpowiada kanałowi docelowego posta.

Podatność w Mattermost umożliwia uwierzytelnionemu zdalnemu klastrowi modyfikację lub usuwanie postów utworzonych przez lokalnych użytkowników lub inne zdalne klastry w kanałach współdzielonych. Problem wynika z braku weryfikacji własności posta w handlerze synchronizacji przychodzącej kanałów współdzielonych.

Podatność w Mattermost umożliwia zwykłemu członkowi grupy lub bezpośredniej wiadomości usunięcie wszystkich uczestników rozmowy poprzez API patchowania kanału. Problem dotyczy wersji 11.7.x do 11.7.2, 11.6.x do 11.6.4 oraz 10.11.x do 10.11.19, gdzie flaga group_constrained nie jest odpowiednio ograniczona do kanałów publicznych i prywatnych obsługujących synchronizację grup.

Podatność w pluginie Mattermost Agents MCP server pozwala atakującemu z dostępem do serwera MCP w trybie stdio na wykonanie fałszowania żądań po stronie serwera (SSRF) poprzez podanie wewnętrznych adresów URL jako załączników w żądaniach tworzenia postów. Problem dotyczy wersji 10.11.x <= 10.11.18, 11.6.x <= 11.6.3 oraz 11.5.x <= 11.5.6.

Podatność w Mattermost umożliwia uwierzytelnionemu atakującemu kradzież danych poprzez wstrzyknięcie składni obrazka Markdown do wyników narzędzi AI bota. Ograniczenia renderowania obrazków Markdown nie są prawidłowo stosowane do postów z wynikami narzędzi AI, co pozwala na wyciek danych do kontrolowanego przez atakującego serwera po wyrenderowaniu przez klient ofiary.

Wersje Mattermost 11.7.x do 11.7.0, 11.6.x do 11.6.2, 11.5.x do 11.5.5 oraz 10.11.x do 10.11.17 nie unieważniają pamięci podręcznej stanu uwierzytelnienia dla aktywnych połączeń WebSocket podczas globalnej revokacji sesji. Umożliwia to użytkownikowi z istniejącym połączeniem WebSocket pozostanie uwierzytelnionym i kontynuowanie odbierania zdarzeń w czasie rzeczywistym, aż do wygaśnięcia pamięci podręcznej sesji lub ponownego połączenia klienta.

Wersje Mattermost 11.7.x do 11.7.0 oraz 10.11.x do 10.11.17 nie egzekwują kontroli uprawnień specyficznych dla botów na końcowym punkcie aktywności użytkownika. Umożliwia to Menedżerowi Użytkowników z dostępem do zarządzania użytkownikami, ale bez dostępu do Integracji, dezaktywację kont botów za pomocą punktu końcowego PUT /api/v4/users/{id}/active.

Wersje Mattermost 11.7.x do 11.7.0, 11.6.x do 11.6.2, 11.5.x do 11.5.5 oraz 10.11.x do 10.11.17 nie autoryzują zainstalowanych callbacków Atlassian Connect, co pozwala zdalnemu, nieautoryzowanemu atakującemu na wstrzyknięcie fałszywego sharedSecret i zakłócenie integracji z Jira.

Wersje Mattermost 11.7.x do 11.7.0, 11.6.x do 11.6.2, 11.5.x do 11.5.5 oraz 10.11.x do 10.11.17 nie weryfikują własności kanału istniejącej subskrypcji przed zastosowaniem edycji. To pozwala uwierzytelnionemu atakującemu na przejęcie subskrypcji z kanałów, do których nie ma dostępu, za pomocą spreparowanego żądania PUT do punktu końcowego edycji subskrypcji.

Wersje Mattermost 11.7.x do 11.7.0, 11.6.x do 11.6.2, 11.5.x do 11.5.5 oraz 10.11.x do 10.11.17 nie egzekwują autoryzacji administratora w wywołaniu {{setDefaultInstance}} w obsłudze komendy {{/gitlab connect}}, co pozwala każdemu uwierzytelnionemu użytkownikowi na nadpisanie globalnej konfiguracji domyślnej instancji GitLab za pomocą komendy {{/gitlab connect <nazwa-instancji>}}.