Bob10X1

**Name of the Vulnerable Software and Affected Versions** Mattermost versions 10.7.x through 10.7.0 Mattermost versions 10.5.x through 10.5.3 Mattermost versions 9.11.x through 9.11.12 **Description** The issue is related to the failure of Mattermost to properly enforce access controls for guest users accessing channel member information. This allows authenticated guest users to view metadata about members of public channels via the "channel members API endpoint". **Recommendations** For versions 10.7.x through 10.7.0, consider restricting access to the channel members API endpoint to prevent guest users from viewing metadata about members of public channels. For versions 10.5.x through 10.5.3, restrict access to the channel members API endpoint to minimize the risk of exploitation. For versions 9.11.x through 9.11.12, limit the access of guest users to the channel members API endpoint until a fix is available.

Nome do Software Vulnerável e Versões Afetadas: Versões do Mattermost 10.5.x até 10.5.1 Versões do Mattermost 10.4.x até 10.4.3 Versões do Mattermost 9.11.x até 9.11.9 Descrição: O problema surge devido à falha em restringir determinadas operações sobre administradores do sistema exclusivamente a outros administradores do sistema. Isso permite que usuários com administração granular delegada que possuem a permissão `Edit Other Users` realizem modificações não autorizadas em administradores do sistema através de uma validação de permissões inadequada. Recomendações: Para as versões do Mattermost 10.5.x até 10.5.1, atualize para uma versão que restrinja adequadamente as operações em administradores do sistema. Para as versões do Mattermost 10.4.x até 10.4.3, atualize para uma versão que restrinja adequadamente as operações em administradores do sistema. Para as versões do Mattermost 9.11.x até 9.11.9, atualize para uma versão que restrinja adequadamente as operações em administradores do sistema. Como medida temporária, considere restringir a permissão `Edit Other Users` para prevenir modificações não autorizadas em administradores do sistema.