Podatności Mattermost

Mattermost nieprawidłowo oczyszcza obiekt użytkownika podczas aktualizacji nazwy użytkownika, w wyniku czego hash hasła zostaje zawarty w treści odpowiedzi. Może to prowadzić do ujawnienia hasha hasła.

W wersjach Mattermost 11.0.x <= 11.0.2, 10.12.x <= 10.12.1, 10.11.x <= 10.11.4 oraz 10.5.x <= 10.5.12 nie jest weryfikowane, czy token użyty podczas wymiany kodu pochodzi z tego samego przepływu uwierzytelniania. Umożliwia to uwierzytelnionemu użytkownikowi przejęcie konta poprzez specjalnie spreparowany adres e-mail przy zmianie metody uwierzytelniania i wysłaniu żądania do endpointu /users/login/sso/code-exchange. Wymagane jest włączenie ExperimentalEnableAuthenticationTransfer (domyślnie włączone) i wyłączenie RequireEmailVerification (domyślnie wyłączone).

W wersjach Mattermost 10.12.x <= 10.12.1, 10.11.x <= 10.11.4, 10.5.x <= 10.5.12 oraz 11.0.x <= 11.0.3 nie jest prawidłowo walidowany token stanu OAuth podczas uwierzytelniania OpenID Connect. Umożliwia to uwierzytelnionemu atakującemu z uprawnieniami do tworzenia zespołów przejęcie konta użytkownika poprzez manipulację danymi uwierzytelniania w przepływie OAuth. Wymagane jest wyłączenie weryfikacji e-mail (domyślnie wyłączone), włączenie OAuth/OpenID Connect oraz kontrola dwóch użytkowników w systemie SSO, z których jeden nigdy nie logował się do Mattermost.

Mattermost w wersjach 10.5.x <= 10.5.5, 9.11.x <= 9.11.15, 10.8.x <= 10.8.0, 10.7.x <= 10.7.2, 10.6.x <= 10.6.5 nie sanityzuje nazw plików w ekstraktorze archiwów. Uwierzytelniony użytkownik może zapisywać pliki w dowolnych lokalizacjach systemu plików poprzez przesyłanie archiwów z sekwencjami path traversal w nazwach plików, co może prowadzić do zdalnego wykonania kodu. Podatność dotyczy instancji z włączonymi opcjami FileSettings.EnableFileAttachments = true i FileSettings.ExtractContent = true, które są domyślnie włączone.

W Mattermost w wersjach 10.4.x <= 10.4.1, 9.11.x <= 9.11.7, 10.3.x <= 10.3.2 i 10.2.x <= 10.2.2 nieprawidłowo walidowane są bloki tablic podczas importu boards. Atakujący może odczytać dowolny plik w systemie poprzez import i eksport specjalnie spreparowanego archiwum w Boards.

W Mattermost w wersjach 10.4.x <= 10.4.1, 9.11.x <= 9.11.7, 10.3.x <= 10.3.2 i 10.2.x <= 10.2.2 nieprawidłowo walidowane są dane wejściowe podczas patchowania i duplikowania board. Użytkownik może odczytać dowolny plik w systemie poprzez zduplikowanie specjalnie spreparowanego bloku w Boards.

Mattermost w wersjach 11.9.x <= 11.9.1, 11.8.x <= 11.8.5 i 11.7.x <= 11.7.10 nie weryfikuje docelowego identyfikatora posta w komponencie przypomnień o wzmiankach wtyczki Agents. Uwierzytelniony użytkownik mogący publikować w kanale widocznym dla administratora systemu może spowodować, że przeglądarka administratora wyśle niezamierzone żądanie API, co prowadzi do zamiany zainstalowanej wtyczki i wykonania kodu na serwerze. Wymaga to kliknięcia przez administratora spreparowanego przypomnienia o wzmiance.

Mattermost w wersjach 11.7.x <= 11.7.10 nie ogranicza, które wbudowane role mogą być przypisane do członka zespołu przez API, co pozwala administratorowi zespołu przyznać członkowi uprawnienia wykraczające poza skonfigurowany schemat uprawnień poprzez REST API {{update-team-member-roles}}. Identyfikator poradnika: MMSA-2026-00734.

Wersje Mattermost 11.9.x <= 11.9.1, 11.8.x <= 11.8.5, 11.7.x <= 11.7.10 oraz 11.10.x <= 11.10.1 nie ograniczają ilości tekstu wyodrębnianego z przesłanego pliku PDF. Uwierzytelniony użytkownik może wyczerpać pamięć serwera i spowodować odmowę usługi za pomocą spreparowanego pliku PDF, którego skompresowany strumień treści rozpakowuje się do bardzo dużej ilości tekstu.

Wersje Mattermost 11.9.x <= 11.9.1, 11.8.x <= 11.8.5, 11.7.x <= 11.7.10 oraz 11.10.x <= 11.10.1 nie stosują limitów alokacji w ścieżkach dekodowania ciągów bajtów w dekoderze msgpack WebSocket. Uwierzytelniony zdalny atakujący może spowodować nadmierną alokację pamięci serwera za pomocą spreparowanej binarnej ramki WebSocket deklarującej długość ładunku Bin32 do 4 294 967 295 bajtów.

Mattermost w wersjach 11.7.x <= 11.7.10 nie stosuje filtrowania wychodzących połączeń wewnętrznych do żądania endpointu odkrywania OpenID. Pozwala to administratorowi systemu ustalić, czy wewnętrzne adresy i porty są osiągalne z serwera, poprzez nieuwierzytelnione żądanie logowania wywołujące pobranie danych odkrywania.

Mattermost w wersjach 11.7.x <= 11.7.10 nie weryfikuje zastrzeżonych typów postów systemowych na ścieżkach tworzenia i publikacji zaplanowanych postów. Umożliwia to uwierzytelnionemu członkowi kanału publikowanie wiadomości wyświetlanych jako zaufane zdarzenia systemowe przez endpoint zaplanowanych postów.

Wersje Mattermost <=11.9, 11.1.9, 11.5.8 i 11.10.7.0 nie sprawdzają długości linii czatu Zoom przed jej przycięciem. Uwierzytelniony atakujący może doprowadzić do awarii wtyczki Agents poprzez streszczanie transkrypcji czatu Zoom zawierającej krótkie linie kontynuacji.

Mattermost w wersjach 11.7.x <= 11.7.11 nie waliduje elementów null podczas dekodowania warunków importu playbooków. Uwierzytelniony atakujący może wysłać spreparowane żądanie importu zawierające warunek null, co powoduje awarię wtyczki Playbooks w całej instancji.

Mattermost w wersjach 11.10.x <= 11.10.0, 11.7.x <= 11.7.9, 11.9.x <= 11.9.1, 11.8.x <= 11.8.5 nie usuwa sekretów integracji akcji z ładunków postów przed rozgłaszaniem zdarzeń WebSocket o usunięciu posta i zwracaniem odpowiedzi API wątków. Uwierzytelniony członek kanału może uzyskać adresy URL webhooków po stronie serwera i kontekst uwierzytelniania z postów z interaktywnymi wiadomościami poprzez zdarzenie post_deleted lub API REST threads.

Mattermost w wersjach 11.9.x <= 11.9.1, 11.8.x <= 11.8.5, 11.7.x <= 11.7.10, 11.10.x <= 11.10.1 nie sanityzuje tokenów uwierzytelniających przed zapisaniem ich do logów serwera. Atakujący z dostępem do logów serwera może uzyskać ważne tokeny sesji lub tokeny dostępu OAuth i podszyć się pod uwierzytelnionych użytkowników.

Mattermost w wersjach 11.10.x <= 11.10.0, 11.7.x <= 11.7.9, 11.9.x <= 11.9.1, 11.8.x <= 11.8.5 nie odrzuca sesji aplikacji OAuth w punkcie końcowym zmiany typu konta. Atakujący z ważnym tokenem OAuth dla docelowego użytkownika może trwale przejąć konto tego użytkownika oparte na SSO, ustawiając hasło kontrolowane przez atakującego i odłączając konto od dostawcy tożsamości.

Mattermost w wersjach 11.10.x <= 11.10.0, 11.7.x <= 11.7.9, 11.9.x <= 11.9.1, 11.8.x <= 11.8.5 nie ogranicza wiązania kont przy imporcie z Slacka do importów inicjowanych przez administratora systemu. Uwierzytelniony atakujący z uprawnieniami administratora zespołu może wymusić dodanie istniejących użytkowników Mattermost do swojego zespołu i sfałszować posty przypisane do ich tożsamości.

Mattermost w wersjach 11.10.x <= 11.10.0, 11.7.x <= 11.7.9, 11.9.x <= 11.9.1, 11.8.x <= 11.8.5 nie weryfikuje uprawnień użytkownika przed innymi walidacjami, co pozwala osobom niebędącym recenzentami treści wywnioskować status oflagowania posta poprzez bezpośrednie wywołanie API.

Mattermost w wersjach 11.10.x <= 11.10.0, 11.7.x <= 11.7.9, 11.9.x <= 11.9.1, 11.8.x <= 11.8.5 nie ogranicza prywatnych zespołów przed pojawianiem się w publicznych wynikach wyszukiwania. Uwierzytelniony użytkownik bez uprawnień do listowania prywatnych zespołów może ujawnić ich ID, nazwę i nazwę wyświetlaną poprzez zmodyfikowane żądanie wyszukiwania.

Mattermost w wersjach 11.10.x <= 11.10.0, 11.7.x <= 11.7.9, 11.9.x <= 11.9.1, 11.8.x <= 11.8.5 nie weryfikuje adresu e-mail zaproszonego odbiorcy przy realizacji tokenów zaproszeń do zespołu i gościa. Uwierzytelniony atakujący może dołączyć do zespołu lub uzyskać nieautoryzowany dostęp do prywatnych kanałów poprzez przekazany lub wyciekły link zaproszenia.

W Mattermost w wersjach 11.10.x <= 11.10.0, 11.7.x <= 11.7.9, 11.9.x <= 11.9.1, 11.8.x <= 11.8.5 nie jest weryfikowana integralność parametru SAML RelayState POST. Umożliwia to uwierzytelnionemu użytkownikowi SAML dołączenie do dowolnego zespołu, w tym zespołów tylko na zaproszenie, poprzez sfałszowanie pól team_id lub invite_id w RelayState.

Mattermost w wersjach 11.10.x <= 11.10.0, 11.7.x <= 11.7.9, 11.9.x <= 11.9.1 oraz 11.8.x <= 11.8.5 nie ogranicza rozmiaru odpowiedzi zdalnych obrazów buforowanych w pamięci podczas bezpośredniego pobierania przez lokalny proxy obrazów. Zdalny atakujący może spowodować wyczerpanie pamięci serwera poprzez spreparowaną, zbyt dużą odpowiedź obrazu.

Mattermost w wersjach 11.10.x <= 11.10.0, 11.9.x <= 11.9.1, 11.8.x <= 11.8.5 oraz 11.7.x <= 11.7.10 nie ogranicza liczby i rozmiaru kluczy wzmianek przechowywanych w właściwościach powiadomień użytkownika ani nie ogranicza kwadratowego dopasowywania wielobajtowych słów kluczowych dla każdego posta. Uwierzytelniony użytkownik może pogorszyć opóźnienie przetwarzania postów i zużyć nadmierne zasoby CPU w imieniu innych członków kanału poprzez zapisanie zbyt dużej listy notify_props.mention_keys na własnym profilu.

Mattermost w wersjach 11.9.x <= 11.9.1, 11.8.x <= 11.8.5, 11.7.x <= 11.7.10 oraz 11.10.x <= 11.10.1 nie sanityzuje pola aktywnego kanału zwracanego przez punkty końcowe API statusu użytkownika. Uwierzytelniony użytkownik może poznać identyfikator kanału prywatnego, który inny użytkownik aktywnie przegląda, nie będąc członkiem tego kanału.

Mattermost w wersjach 11.9.x <= 11.9.1, 11.8.x <= 11.8.5, 11.7.x <= 11.7.10 oraz 11.10.x <= 11.10.1 nie unieważnia zapisanego hasła bind AD/LDAP, gdy inne ustawienia połączenia (takie jak adres serwera) zostaną zmienione. Administrator System Console może ujawnić hasło bind w postaci jawnej do serwera kontrolowanego przez atakującego za pomocą funkcji Test Connection / diagnostyki.

Mattermost w wersjach 11.9.x <= 11.9.1, 11.8.x <= 11.8.5, 11.7.x <= 11.7.10 oraz 11.10.x <= 11.10.1 nie wymaga ponownego wprowadzenia zapisanego klucza klienta (client secret) podczas walidacji wychodzącego połączenia OAuth. Uwierzytelniony użytkownik z uprawnieniami do zarządzania wychodzącymi połączeniami OAuth może uzyskać klucz klienta, kierując adres URL tokenu na punkt końcowy kontrolowany przez atakującego i wyzwalając walidację.

Mattermost w wersjach 11.10.x <= 11.10.0, 11.7.x <= 11.7.9, 11.9.x <= 11.9.1 oraz 11.8.x <= 11.8.5 nie wymusza sprawdzenia DM/GM po stronie serwera. Uwierzytelniony użytkownik może poddać kwarantannie post należący do wiadomości bezpośredniej (DM) lub grupowej (GM) poprzez bezpośrednie wywołanie API.

Mattermost w wersjach 11.10.x <= 11.10.0, 11.7.x <= 11.7.9, 11.9.x <= 11.9.1 oraz 11.8.x <= 11.8.5 nie waliduje kombinacji ról gościa i administratora. Uwierzytelniony atakujący może eskalująć konto gościa do administratora zespołu lub kanału poprzez spreparowane żądanie PUT do punktu końcowego API ról członków.

Mattermost w wersjach 11.9.x do 11.9.1, 11.8.x do 11.8.5, 11.7.x do 11.7.10 oraz 11.10.x do 11.10.1 nie egzekwuje limitu rozmiaru treści żądania podczas walidacji CSRF dla żądań wtyczek, co pozwala uwierzytelnionemu użytkownikowi wyczerpać pamięć serwera i spowodować odmowę usługi poprzez wysłanie dużego żądania do punktu końcowego wtyczki.

Mattermost w wersjach 11.9.x do 11.9.1, 11.8.x do 11.8.5, 11.7.x do 11.7.10 oraz 11.10.x do 11.10.1 nie stosuje filtra połączeń wewnętrznych do żądań do punktów końcowych OAuth, co pozwala administratorowi systemu na zmuszenie serwera do wysyłania żądań do wewnętrznych adresów sieciowych i odczytywania odpowiedzi za pośrednictwem skonfigurowanych punktów końcowych tokena OAuth i userinfo.

Mattermost w wersjach 11.9.x do 11.9.1, 11.8.x do 11.8.5, 11.7.x do 11.7.10 i 11.10.x do 11.10.1 nie ogranicza długości tablicy ID postów w punkcie końcowym zbiorczych reakcji (bulk reactions). Umożliwia to uwierzytelnionemu użytkownikowi spowodowanie nadmiernego obciążenia bazy danych za pomocą spreparowanego żądania do {{POST /api/v4/posts/ids/reactions}}. Identyfikator porady: MMSA-2026-00771.

W Mattermost w wersjach 11.9.x <= 11.9.0, 11.8.x <= 11.8.4, 11.7.x <= 11.7.7, 10.11.x <= 10.11.22 nie oczyszcza obiektów Team zwracanych przez endpoint data retention teams. Uwierzytelniony użytkownik z uprawnieniem tylko do odczytu Data Retention Policy może uzyskać prywatny invite_id i e-mail zespołu oraz dołączyć do niego bez autoryzacji przez GET /api/v4/data_retention/policies/{policy_id}/teams.

Mattermost w wersjach 11.9.x do 11.9.0, 11.8.x do 11.8.4 i 11.7.x do 11.7.7 nie waliduje poprawnie identyfikatorów URI przekierowań podczas Dynamic Client Registration, dopasowując wzorce glob do surowego ciągu URI zamiast do komponentów URL. Pozwala to zdalnemu, nieuwierzytelnionemu atakującemu zarejestrować klienta OAuth z kontrolowanym hostem wywołania zwrotnego, który omija listę dozwolonych URI przekierowań poprzez spreparowany URI umieszczający dozwolony suffix hosta/ścieżki w ciągu zapytania.

Mattermost w wersjach 11.9.x do 11.9.0, 11.8.x do 11.8.4, 11.7.x do 11.7.8 oraz 10.11.x do 10.11.22 nie ogranicza głębokości zagnieżdżenia w parserze Markdown po stronie serwera. Uwierzytelniony atakujący może spowodować odmowę usługi (wyczerpanie zasobów CPU) poprzez spreparowany post z głęboko zagnieżdżonymi cytatami lub elementami listy.

Mattermost w wersjach do 11.9, 11.0.9, 11.4.8, 11.7.7 oraz 10.22.11.0 nie odzyskuje działania po panicach w handlerach. Uwierzytelniony użytkownik może doprowadzić do awarii pluginu poprzez żądanie post-action z nieoczekiwanym typem pola.

Mattermost w wersjach 11.9.x do 11.9.0, 11.8.x do 11.8.4 oraz 11.7.x do 11.7.7 nie egzekwuje granic autoryzacji na punkcie końcowym aktualizacji polityki kontroli dostępu. Administrator kanału lub zespołu może odpiąć przypisaną przez system politykę nadrzędną ABAC poprzez spreparowane żądanie PUT /api/v4/access_control_policies z pustą listą imports.

Mattermost w wersjach 11.9.x <= 11.9.0, 11.8.x <= 11.8.4, 11.7.x <= 11.7.7 oraz 10.11.x <= 10.11.22 nie weryfikuje uprawnień do zarządzania członkami kanału podczas tworzenia uruchomienia playbooka. Uwierzytelniony członek kanału może dodać dowolnego użytkownika do kanału o ograniczonym dostępie poprzez pole właściciela uruchomienia.

Mattermost w wersjach 11.9.x <= 11.9.0, 11.8.x <= 11.8.4, 11.7.x <= 11.7.7, 10.11.x <= 10.11.22 nie ogranicza rozmiaru rozpakowywanych wiadomości SDP skompresowanych zlib. Atakujący może wysłać wiele takich wiadomości, które po rozpakowaniu osiągają duży rozmiar, powodując odmowę usługi lub awarię serwera.

Mattermost w wersjach 11.9.x <= 11.9.0, 11.8.x <= 11.8.4, 11.7.x <= 11.7.7, 10.11.x <= 10.11.22 nie ogranicza ilości pamięci alokowanej podczas dekodowania przesyłanych plików obrazów. Uwierzytelniony użytkownik może przesłać specjalnie spreparowany obraz jako zdjęcie profilowe, załącznik, ikonę zespołu lub niestandardowy obraz marki, powodując nadmierne zużycie pamięci serwera i potencjalną odmowę usługi.

Mattermost w wersjach 11.9.x <= 11.9.0, 11.8.x <= 11.8.4, 11.7.x <= 11.7.7, 10.11.x <= 10.11.22 nie egzekwuje uprawnień do tworzenia tablic. Nieuprawniony uwierzytelniony użytkownik może tworzyć tablice poprzez punkty końcowe duplikowania tablic, boards-and-blocks oraz importu archiwum.

Mattermost w wersjach 11.9.x <= 11.9.0, 11.8.x <= 11.8.4, 11.7.x <= 11.7.7, 10.11.x <= 10.11.22 nie egzekwuje uprawnień do tworzenia tablic podczas importowania plików archiwum. Uwierzytelniony członek zespołu (nie-gość) może tworzyć publiczne lub prywatne tablice mimo ograniczeń administratora, importując spreparowany plik .boardarchive.

Mattermost w wersjach 11.9.x <= 11.9.0, 11.8.x <= 11.8.4, 11.7.x <= 11.7.7, 10.11.x <= 10.11.22 nie waliduje typu pola `fields.properties` przy tworzeniu bloku. Uwierzytelniony użytkownik z dostępem edytora do tablicy może wywołać crash procesu roboczego wtyczki Boards i odmowę usługi, tworząc blok potomny, którego `fields.properties` nie jest obiektem.

Mattermost w wersjach 11.9.x <= 11.9.0, 11.8.x <= 11.8.4, 11.7.x <= 11.7.7, 10.11.x <= 10.11.22 nie parsuje autolinków Markdown z niedopasowanymi zamykającymi nawiasami w czasie liniowym. Uwierzytelniony użytkownik z uprawnieniami do tworzenia postów może wywołać nadmierne zużycie CPU serwera i pogorszyć dostępność dla innych użytkowników poprzez specjalnie spreparowaną treść posta lub załącznika.

Mattermost w wersjach 11.9.x <= 11.9.0, 11.8.x <= 11.8.4, 11.7.x <= 11.7.7, 10.11.x <= 10.11.22 nie egzekwuje limitu równocześnie przetwarzanych plików i nie obsługuje poprawnie plików, które zakończyły się błędem. Użytkownik z uprawnieniami do przesyłania plików może tworzyć więcej goroutines niż zamierzono i blokować indeksowanie innych plików poprzez ciągłe przesyłanie dużych plików.

Mattermost w wersjach 11.9.x <= 11.9.0, 11.8.x <= 11.8.4, 11.7.x <= 11.7.7, 10.11.x <= 10.11.22 nie waliduje pustych wpisów w ładunkach powiadomień webhook Microsoft Graph. Nieuwierzytelniony atakujący może wywołać crash procesu wtyczki Microsoft Calendar i odmówić usługi integracji kalendarza wszystkim użytkownikom instancji poprzez spreparowane żądanie POST do publicznego punktu końcowego webhook.

Mattermost w wersjach 11.9.x <= 11.9.0, 11.8.x <= 11.8.4, 11.7.x <= 11.7.7 oraz 10.11.x <= 10.11.22 nie weryfikuje właściciela akcji kanału. Menedżerowie kanałów mogą dzięki temu modyfikować akcje w innych kanałach poprzez endpoint aktualizacji akcji kanału.

Mattermost w wersjach 10.11.x do 10.11.20 oraz 11.7.x do 11.7.5 nie usuwa rekordów członkostwa w wątkach, gdy użytkownik zostaje usunięty z zespołu lub sam go opuszcza. Pozwala to wcześniej usuniętemu użytkownikowi, który później zostanie ponownie zaproszony, na przeglądanie treści i metadanych postów w prywatnych kanałach przez API wątków zespołu.

Wersje Mattermost 11.7.x <= 11.7.6, 10.11.x <= 10.11.21, 11.8.x <= 11.8.3 nie egzekwują uprawnienia PermissionManageBoardRoles na polu channelId w punkcie końcowym batch, co pozwala uwierzytelnionemu edytorowi tablic na ponowne powiązanie dowolnej tablicy, którą może edytować, z dowolnym kanałem za pomocą spreparowanego żądania PATCH.

Mattermost w wersjach 11.7.x do 11.7.6, 10.11.x do 10.11.21 oraz 11.8.x do 11.8.3 nie waliduje pól BoardMember.Scheme* po stronie serwera podczas wstawiania i importu archiwum, co pozwala edytorowi tablicy lub członkowi zespołu niebędącemu gościem na nadanie roli administratora tablicy dowolnym użytkownikom.