CVE-2026-9693
NiskieCVSS 3.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
Mattermost w wersjach 10.11.x do 10.11.20 oraz 11.7.x do 11.7.5 nie usuwa rekordów członkostwa w wątkach, gdy użytkownik zostaje usunięty z zespołu lub sam go opuszcza. Pozwala to wcześniej usuniętemu użytkownikowi, który później zostanie ponownie zaproszony, na przeglądanie treści i metadanych postów w prywatnych kanałach przez API wątków zespołu.
Ocena ryzyka
Ryzyko polega na nieautoryzowanym dostępie do prywatnych treści kanałów po ponownym zaproszeniu użytkownika, co może naruszyć poufność rozmów.
Rekomendacja
Zaleca się aktualizację Mattermost do wersji zawierającej poprawkę oraz przegląd uprawnień użytkowników po ponownym dodaniu do zespołu.
Oryginalny opis (angielski, źródło NVD)
Mattermost versions 10.11.x <= 10.11.20, 11.7.x <= 11.7.5 Mattermost fails to remove thread membership records when a user is removed from or leaves a team, which allows a previously removed user who is later re-invited to the team to view private channel thread root post content and metadata via the team threads API.. Mattermost Advisory ID: MMSA-2026-00682