CVE-2026-6341
MediumSummary
Wersje wtyczek Mattermost do 11.5, 11.1.5, 10.13.11 oraz 11.3.4.0 nie mają odpowiednich kontroli na poziomie API dotyczących grup, do których użytkownik może tworzyć zgłoszenia lub dodawać komentarze. Umożliwia to użytkownikowi, będącemu członkiem wielu grup, tworzenie zgłoszeń w zablokowanej grupie za pomocą bezpośrednich żądań API.
Risk Assessment
Brak odpowiednich kontroli dostępu może prowadzić do nieautoryzowanego dostępu do zablokowanych grup, co stwarza ryzyko wycieku informacji lub manipulacji danymi w organizacji.
Recommendation
Zaleca się aktualizację wtyczek Mattermost do najnowszej wersji, która zawiera poprawki dotyczące kontroli dostępu na poziomie API oraz przegląd polityki zarządzania grupami.
Original NVD description (English source)
Mattermost Plugins versions <=11.5 11.1.5 10.13.11 11.3.4.0 fail to have API-level checks on which groups the user can create issues or attach comments to which allows a user that is member of multiple groups to create issues to a locked group via direct API requests. Mattermost Advisory ID: MMSA-2026-00602