Mattermost teilt lokale Kanäle ohne Zustimmung durch unaufgeforderte Einladungen

Beschreibung

Mattermost in den Versionen 9.9.x bis einschliesslich 9.9.0, 9.5.x bis 9.5.6, 9.7.x bis 9.7.5 und 9.8.x bis 9.8.1 unterbindet unaufgeforderte Einladungen nicht, wodurch der Zugriff auf lokale Kanäle offengelegt werden kann. Bei aktivierten geteilten Kanälen kann eine bösartige Gegenstelle eine Einladung mit der ID eines bestehenden lokalen Kanals senden; dieser lokale Kanal wird dann ohne Zustimmung des lokalen Administrators geteilt. CVSS-Basiswert: 8.7 (Hoch). Empfohlene Massnahme: Update auf eine korrigierte Mattermost-Version oberhalb der genannten Stände.

Changelog

1. 2026-07-20 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Mattermost

• Mattermost: Kontoübernahme über fehlerhafte OAuth-State-Prüfung CVE-2025-12419
• CVE-2025-12421 – Kontoübernahme in Mattermost CVE-2025-12421
• CVE-2025-4981 – Mattermost: Path Traversal im Archiv-Extraktor führt zu RCE CVE-2025-4981
• Mattermost: Beliebiger Dateizugriff durch Duplizieren eines Boards CVE-2025-20051
• Mattermost Boards: Auslesen beliebiger Dateien über Board-Import CVE-2025-25279
• Mattermost: SQL-Injection beim Umsortieren von Board-Kategorien CVE-2025-24490