CVE-2026-4055
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
Mattermost w wersjach 11.5.x <= 11.5.1 nie waliduje poprawnie uprawnienia run_create na poziomie zespołu podczas tworzenia przebiegu playbooka. Uwierzytelniony członek zespołu może tworzyć przebiegi w zespołach, do których nie ma uprawnień, podając inny identyfikator zespołu w żądaniu API.
Ocena ryzyka
Ryzyko polega na nieautoryzowanym tworzeniu przebiegów playbooków w zespołach, co może prowadzić do naruszenia polityk bezpieczeństwa i niekontrolowanych działań.
Rekomendacja
Zaleca się aktualizację Mattermost do wersji 11.5.2 lub nowszej zgodnie z biuletynem MMSA-2026-00629.
Oryginalny opis (angielski, źródło NVD)
Mattermost versions 11.5.x <= 11.5.1 fail to validate team-level run_create permission against the target team when creating a playbook run which allows an authenticated team member to create runs in teams where they lack permission via specifying a different team ID in the run creation API request. Mattermost Advisory ID: MMSA-2026-00629