CVE-2026-9812

ŚrednieCVSS 6.5

Opublikowano: 14/09/2026(UTC)Zaktualizowano: 06/10/2026(UTC)Przetłumaczono: 14/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.37%

Percentyl 28 - wyżej niż 28% wszystkich znanych CVE

Streszczenie

Mattermost w wersjach 11.9.x <= 11.9.0, 11.8.x <= 11.8.4, 11.7.x <= 11.7.7 oraz 10.11.x <= 10.11.22 nie weryfikuje, czy pole właściwości należy do określonego przebiegu (run) przed aktualizacją jego wartości. Uwierzytelniony użytkownik z uprawnieniami do zarządzania właściwościami przebiegu może zawiesić wtyczkę Playbooks poprzez żądanie REST odwołujące się do pola właściwości należącego do innego przebiegu.

Ocena ryzyka

Uwierzytelniony atakujący z odpowiednimi uprawnieniami może doprowadzić do awarii wtyczki Playbooks, powodując odmowę usługi dla użytkowników korzystających z tej funkcji. Ryzyko dotyczy instancji Mattermost z wtyczką Playbooks w podanych wersjach.

Rekomendacja

Zaktualizuj Mattermost do wersji zawierającej poprawkę (zgodnie z advisory MMSA-2026-00684). Ogranicz uprawnienia do zarządzania właściwościami przebiegu do zaufanych użytkowników.

Inne podatności w Mattermost Playbooks

CVE-2024-47401Średnie
Mattermost w wersjach 9.10.x <= 9.10.2, 9.11.x <= 9.11.1 oraz 9.5.x <= 9.5.9 nie zapobiega wyświetlaniu szczegółowych komunikatów błędów w Playbooks. Atakujący może wysłać specjalnie spreparowane żądanie do Playbooks, aby wygenerować dużą odpowiedź i wzmocnić odpowiedź GraphQL, co może doprowadzić do awarii aplikacji.

Oryginalny opis (angielski, źródło NVD)

Mattermost versions 11.9.x <= 11.9.0, 11.8.x <= 11.8.4, 11.7.x <= 11.7.7, 10.11.x <= 10.11.22 fail to validate that a property field belongs to the specified run before updating its value which allows an authenticated user with run property-management access to crash the Playbooks plugin via a REST request referencing a property field that belongs to a different run. Mattermost Advisory ID: MMSA-2026-00684

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS