CVE-2026-10527
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
Mattermost w wersjach 11.7.x <= 11.7.6, 10.11.x <= 10.11.21, 11.8.x <= 11.8.3 nie synchronizuje flag SchemeAdmin z aktualną rolą użytkownika. Umożliwia to użytkownikowi zdegradowanemu do roli System Guest zachowanie uprawnień administratora tablicy i wykonywanie operacji administracyjnych przez API REST lub interfejs użytkownika Boards.
Ocena ryzyka
Ryzyko obejmuje nieautoryzowane uprawnienia administracyjne dla użytkowników o ograniczonych rolach, co może prowadzić do naruszenia bezpieczeństwa i integralności danych.
Rekomendacja
Zaleca się aktualizację Mattermost do wersji, która naprawia tę podatność (zgodnie z zaleceniami producenta).
Oryginalny opis (angielski, źródło NVD)
Mattermost versions 11.7.x <= 11.7.6, 10.11.x <= 10.11.21, 11.8.x <= 11.8.3 fails to reconcile SchemeAdmin flags with a user's current role which allows a user demoted to System Guest to retain Board Admin privileges and perform admin-only operations via the Boards REST API or UI.. Mattermost Advisory ID: MMSA-2026-00691