CVE-2025-59480

ŚrednieCVSS 6.1

Opublikowano: 13/11/2025(UTC)Zaktualizowano: 19/10/2026(UTC)Przetłumaczono: 19/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.15%

Percentyl 4 - wyżej niż 4% wszystkich znanych CVE

Streszczenie

Aplikacje mobilne Mattermost w wersjach <=2.32.0 nie weryfikują, czy tokeny przekierowania SSO pochodzą z zaufanego serwera, co pozwala złośliwej instancji Mattermost lub atakującemu w sieci na uzyskanie danych sesji użytkownika poprzez spreparowane odpowiedzi z tokenem w URL.

Ocena ryzyka

Może to umożliwić przejęcie sesji użytkownika i nieautoryzowany dostęp do jego konta oraz danych w Mattermost.

Rekomendacja

Zaktualizuj aplikacje mobilne Mattermost do wersji powyżej 2.32.0, która zawiera poprawkę.

Inne podatności w Mattermost Mobile Apps

CVE-2026-22880Średnie
Aplikacje mobilne Mattermost w wersjach do 2.37 11.4 2.0.37 11.0.4 11.1.3 11.3.2 10.11.11.0 nieprawidłowo walidują pochodzenie wywołania zwrotnego uwierzytelniania SSO, co pozwala atakującemu kontrolującemu złośliwy serwer Mattermost na kradzież danych uwierzytelniających użytkownika dla legalnego serwera Mattermost poprzez przekazywanie przepływu wymiany kodu SSO przez aplikację mobilną.

Oryginalny opis (angielski, źródło NVD)

Mattermost Mobile Apps versions <=2.32.0 fail to verify that SSO redirect tokens originate from the trusted server, which allows a malicious Mattermost instance or on-path attacker to obtain user session credentials via crafted token-in-URL responses

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS