CVE-2026-9820
NiskieCVSS 3.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
Podatność w Mattermost umożliwia użytkownikowi z rolą User Manager uzyskanie linków zaproszeń do prywatnych zespołów poprzez endpoint scheme teams. Brak odpowiedniego czyszczenia obiektów zespołów pozwala na dołączenie lub udostępnienie dostępu do tych zespołów.
Ocena ryzyka
Organizacja narażona jest na nieautoryzowany dostęp do prywatnych zespołów, co może prowadzić do wycieku poufnych informacji i naruszenia polityki dostępu.
Rekomendacja
Należy niezwłocznie zaktualizować Mattermost do wersji 11.7.3 lub nowszej (dla serii 11.7.x) oraz do wersji 10.11.20 lub nowszej (dla serii 10.11.x).
Oryginalny opis (angielski, źródło NVD)
Mattermost versions 11.7.x <= 11.7.2, 10.11.x <= 10.11.19 fail to sanitize team objects returned by the scheme teams endpoint, which allows a user with the User Manager role to obtain invite links for private teams and use them to join or share access to those teams via the scheme teams API endpoint.. Mattermost Advisory ID: MMSA-2026-00671