CVE-2026-9816
WysokieCVSS 8.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Mattermost w wersjach 11.7.x do 11.7.6, 10.11.x do 10.11.21 oraz 11.8.x do 11.8.3 nie waliduje pól BoardMember.Scheme* po stronie serwera podczas wstawiania i importu archiwum, co pozwala edytorowi tablicy lub członkowi zespołu niebędącemu gościem na nadanie roli administratora tablicy dowolnym użytkownikom.
Ocena ryzyka
Osoba z ograniczonymi uprawnieniami może eskalować swoje uprawnienia do administratora tablicy, co może prowadzić do nieautoryzowanego dostępu do danych i naruszenia integralności tablic.
Rekomendacja
Zaleca się aktualizację Mattermost do wersji, w której problem został naprawiony, oraz weryfikację uprawnień użytkowników.
Oryginalny opis (angielski, źródło NVD)
Mattermost versions 11.7.x <= 11.7.6, 10.11.x <= 10.11.21, 11.8.x <= 11.8.3 fail to validate BoardMember.Scheme* fields server-side on insert and archive-import paths which allows a board editor or non-guest team member to grant board admin to arbitrary users via POST /api/v2/boards/{boardID}/members and POST /api/v2/teams/{teamID}/archive/import.. Mattermost Advisory ID: MMSA-2026-00685